Checkliste für Dedizierten Server

[d3p]

Hallo,
Nachdem mein VServer allmählich aus dem letzten Loch pfeift, habe ich nun ein paar Angebote für Dedizierte Server eingeholt.

Ich würde gerne nochmals die Konfiguration überprüfen und verbessern lassen

SSH

• SSH Port geändert
• Portknocking / nur mittels meiner IP Login möglich
• Public-Key Auth aktiviert
• Login mittels Root verboten

FTP
• Benutzer haben ein gechrootetes Home-Dir
• Kein SSH Login möglich

Webserver / Reverse-Proxy
• PHP mittels Apache-Modul
• NGINX als Reverse/Caching-Proxy für statische Inhalte

MySQL / Datenbank
• MySQL an localhost gebunden
• secure_installation für MySQL ausgeführt
• Phpmyadmin in ein anderes Verzeichnis als /phpmyadmin und mittels htaccess geschützt

Mail
• nur localhost
• Spamfilter? / SPF
• DNS-Blackhole-Listen?
• Relaying nur mittels Auth

Ansonsten habe ich alle unnötigen Dienste im Runlevel deaktivert
Plesk möchte ich keines mehr haben, da dass nur Ressourcen frisst.

Wäre es sinnvoller bei 2x1TB HDD´s ein SW-RAID 1 zu erstellen, oder die Daten jeden Abend zu packen und auf die 2te HDD zu schieben?

Sollte ich Logs extern sichern?

Wie kann ich für jeden VHost (Domain/Subdomain) eigene Trafficstatistiken erstellen?

Monitoring einzelner Dienste?

Habt ihr eventuell noch Vorschläge?

Danke,

 

[magenbrot]

ich würd ein RAID1 machen und alles wichtige extern sichern (ich geh mal davon aus, dass du das eh vor hattest

wenn eine Platte abraucht läuft dein Server trotzdem erstmal weiter.

 

[TerraX]

PHP als Apache-Modul ist in Sachen Performance und Ressourcen-Verbrauch nicht so unbedingt der letzte Schrei. Du solltest Dir Apache als mpm-worker mit PHP-FPM sowie APC (PHP Opcode-Cache) anschauen. Dann macht auch der Aufwand bzgl. Nginx Sinn.

Zu FTP: SSL/TLS-only-Connections - ich bevorzuge vsFTP.

Das gleiche für SMTP-Auth beim Mailserver

Die Bindung des SSH-Logins an eine feste IP sehe ich kritisch. Public-Key-Auth und Portknocking sind m.E. mehr als ausreichend - nicht mit Kanonen auf Spatzen schießen.

Weitere Sicherheitsmaßnahmen sollten im Verhältnis zum Einsatzzweck stehen.

 

[d3p]

ich würd ein RAID1 machen und alles wichtige extern sichern (ich geh mal davon aus, dass du das eh vor hattest

wenn eine Platte abraucht läuft dein Server trotzdem erstmal weiter.

Hm, okay.
Aber belastet das nicht unnötig die CPU?

--------------

PHP als Apache-Modul ist in Sachen Performance und Ressourcen-Verbrauch nicht so unbedingt der letzte Schrei. Du solltest Dir Apache als mpm-worker mit PHP-FPM sowie APC (PHP Opcode-Cache) anschauen. Dann macht auch der Aufwand bzgl. Nginx Sinn.

Inwiefern Sinn?
Als Reverse- oder Caching-Proxy?

Zu FTP: SSL/TLS-only-Connections - ich bevorzuge vsFTP.

Wieso, falls ich Fragen darf?

[...]
Das gleiche für SMTP-Auth beim Mailserver

Ich denke, du meinst damit "SSL/TLS-only-Connections" oder?

 

[magenbrot]

Hm, okay.
Aber belastet das nicht unnötig die CPU?

Der Einfluss auf die CPU ist vernachlässigbar. Aber wenn dir die Sicherheit und Stabilität deines Servers nicht so wichtig ist, brauchst du kein RAID1. Wenn du einen ordentlichen Hardware-RAID-Controller einsetzt, dann hast du Performance und Sicherheit. Kostet halt

 

[TerraX]

Hm, okay.
A) Inwiefern Sinn? Als Reverse- oder Caching-Proxy?

B) Wieso, falls ich Fragen darf?

C) Ich denke, du meinst damit "SSL/TLS-only-Connections" oder?

Zu a)
Wenn man so eine nicht ganz triviale Kombi von Apache mit Nginx konfiguriert, sollte auch das Hinterland Apache/PHP optimal laufen

zu b)
Natürlich darfst Du, deswegen sind wir hier. Ich mag KISS - Keep It Small and Simple. vsFTP tut, IMHO, genau das. Eine sehr übersichtliche und einfach verständliche Konfiguration, welche gut dokumentiert und einfach zu verstehen ist. vsFTP bietet zumindest mir, also für kleinere Projekte, ausreichend Funktionsumfang und Flexibilität und bleibt dennoch klein und performant. Last but not least, ist es auf Sicherheit hin konzipiert - zumindest laut der Devise der Programmierer.

zu c)
Yepp - und zwar für die eigenen User, die sich authen müssen, um Mail zu versenden. Für IMAP/POP3 würde ich das ebenfalls empfehlen.

Wäre es sinnvoller bei 2x1TB HDD´s ein SW-RAID 1 zu erstellen, oder die Daten jeden Abend zu packen und auf die 2te HDD zu schieben?

...

Wie kann ich für jeden VHost (Domain/Subdomain) eigene Trafficstatistiken erstellen?

Zum Thema Raid: IMHO, auf jeden Fall Raid1 nutzen, wenn die Möglichkeit vorhanden ist, denn wenn Dir eine Platte abschmiert, hast Du zumindest eine erhöhte Chance, nicht das ganze System neu aufbauen zu müssen. Das wäre ja in Deinem zweiten Vorschlag der Fall. Außerdem; ein echtes Backup sollte außerhalb des eigenen Servers gelagert werden. Mit etwas Pech könnten beide Platten beschädigt werden und dann wäre laufendes System und Backup futsch - Totalausfall - will man nicht haben.

Zum Thema Trafficstatistik:
Meinst Du damit Traffic über alle Dienste hinweg also Mail, WWW und FTP oder nur WWW? Denn vHost betrifft ja eher WWW. In Sachen WWW, access.logs pro vHost getrennt erstellen und mit dem bevorzugten Auswertungsscript (webalizer, AWStats) per Cronjob einzeln auswerten/erstellen lassen. eMail und FTP ist etwas aufwendiger, weil Du das aus den zentralen Logs herauspobeln musst, daher die Frage ob sich der Aufwand lohnt.

Wenn Du da nix basteln willst - Webmin in Verbindung mit Virtualmin kann das, also alle 3 Dienste zusammenfassen sowie Dir übersichtlich darstellen und ist nicht so invasiv wie Plesk. Du kannst jedes Details sehr fein steuern.