LINUX.ORG.RU
Форум — Security  

Многосервисный сервер

 , , ,


0

2

Есть машина на которой планируется запустить 2-3 сайта, почту (с этих доменах), NTP, DNS.
Как лучше разделить эти сервисы, чтобы по-безопаснее, но чтобы не было лишних растрат ресурсов (машина не очень мощная)...
Предполагаю так:
Каждый сайт - в отдельную вирт. машину (легкая виртуализация);
NTP - Chroot;
DNS - либо chroot либо apparmor;
mail - либо в виртуалку либо apparmor.

Как посоветуете? Может, есть более рациональные варианты...

★★★★

Последнее исправление: Klymedy (всего исправлений: 2)
← Настройка smb.conf, директории для гостей и требующие авторизации
Хочу стать параноиком →

apparmor

Не знаю на счет apparmor, в rhel(уверен, что и в centos точно так же) всегда был selinux, и все популярные сервисы в нем уже должны быть настроены - apache и postfix точно. Я бы, наверное, сделал по kvm машине на каждый сайт + еще одна под всё остальное.

fjoe ★
()

Я для этого использовал lxc контейнеры. Chroot не безопасен: если есть рут из него можно выйти.

zloelamo ★★★★
()
Ответ на: комментарий от zloelamo

Как у lxc с производительностью? Оно так и осталось игрушкой для гиков или реально где применяется?

anonymous
()
Ответ на: комментарий от sin_a

openvz приведет к тому, что ТС будет винужден использовать vz-ядра, что уже намного хуже чем ранее предложенный selinux

anonymous
()
Ответ на: комментарий от anonymous

Контейнеры имеют то достоинство, что для каждой задачи можно настроить свою среду (croot) с своими версиями требуемого ПО.

Использовать ядра vz может быть плохо, если требуются какие то свежие особенности, которых нет в таких ядрах. На lxc, действительно, тоже стоит обратить внимание, но с этим возможно понадобится разбираться чуть больше.

sin_a ★★★★★
()

lxc либо нарезать виртуалочек, если есть аппаратная виртуализация и достаточно памяти. Либо можно посмотреть в сторону нелинукса (Solaris Zones, например). Либо можно не париться :) Всё равно ломать никто не будет.

У меня все серверы стоят с пустым iptables и ничего - полная кафедра ИТ-студентов, а никто даже и не думает поломать хоть чего-то, хотя в одних только веб-службах поди навалом XSS, CSRF и т.д. Так что будь спокоен

hc ★
()
Ответ на: комментарий от hc

DNS, postfix, apache будут смотреть в интернет.

Всё равно ломать никто не будет.

Вы за весь интернет ответили? )


полная кафедра ИТ-студентов, а никто даже и не думает поломать хоть чего-то

Потому что легко проверить кто работал на компе. Я бы тоже не рискнул, даже если даже знал-бы как сломать...

SELinux, насколько мне известно, очень долго настраивается... тот-же apparmor быстрее...

Igorrr ★★★★
() автор топика
Ответ на: комментарий от Igorrr

Я наоборот говорю, чтобы ломали (бесплатный пентест же :) ), да никто не берётся :) Ну да это оффтопик

По поводу SELinux - я не селинукс предлагал, а НЕлинукс - солярис, например :)

hc ★
()
Ответ на: комментарий от hc

По поводу SELinux - я не селинукс предлагал, а НЕлинукс - солярис, например :)

Да этот ответ и не вам был, а второму посту :)

ОС не могу выбирать - только CentOS. Иначе поставил-бы Debian :)

Igorrr ★★★★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Настройка smb.conf, директории для гостей и требующие авторизации
Security
Хочу стать параноиком →