Was macht noch Sinn?

[G1ggles]

Hallo liebe Community,

derzeit strukturiere ich meine Serverfarm etwas um, da mir mein bisheriger einer KVM Server nicht mehr gereicht hat.

Ich habe inzwischen 3 KVM Server wovon einer 2048MB RAM hat und die anderen beiden jeweils 1024MB RAM. Alle Systeme laufen unter einer Linux Debian Wheezy 7.5 64 bit mit MultiArch Unterstützung.

Gerne würde ich im Punkto Sicherheit etwas zulegen, weswegen ich mich über ein paar nette hilfreiche Beiträge freuen würde.

Aufgeteilt habe ich Sie wie folgt:

srv01.domain.tld:
Projekt-Webseite (Apache Webserver, PHP5, KEIN MySQL)
Admin-Tool: PHPMyAdmin für srv02.domain.tld
Admin-Tool: PHPMyAdmin für srv03.domain.tld
Admin-Tool: PostfixAdmin für Postfix/Dovecot auf srv02.domain.tld
Webmailer: Roundcube als Webmailer für Mailserver
Teamspeak 3 Server

srv02.domain.tld:
Datenbank-Server:
Datenbanken: Projektseite, PostfixAdmin, Roundcube, Teamspeak 3
Postfix SMTP Server
Dovecot IMAP/POP3 Server

srv03.domain.tld:
[WIP]Apache2 Webserver
[WIP]MySQL Server
[WIP]Icinga Monitoring (Überwachung srv01, srv02: Alle wichtigen Dienste)


Ich setze auf allen Servern auf die gleiche Sicherheit:
Fail2Ban:
SSH, SSH-DDoS,
Apache+Multiport+noscript+overflows,
postfix, sasl, dovecot

IPTables:
ACCEPT tcp -- srv0x.domain.tld anywhere tcp spt:mysql
ACCEPT tcp -- srv0x.domain.tld anywhere tcp spt:mysql
DROP tcp -- anywhere anywhere tcp spt:mysql
(Jeweils die anderen beiden srv freigeschaltet|Bei srv01 also srv02 und srv03)

MySQL:
mysql_secure_installation

SSH:
Port 22 geändert

ClamAV:
Jeden Sonntag Abend - 00:00 Uhr - kompletter Systemcheck


Über ein paar Ideen und Vorschläge freue ich mich schon jetzt.

Beste Grüße
G1ggles

 

[GwenDragon]

Und wie prüfst du, ob deine Serverdateien noch ok sind?
Stichwort: Tripwire, AIDE, debsums?

Wie hast du dein System gehärtet?
SELinux?

Das kostenlose ClamAV kannst du vergessen. Das ist nicht so gut.
Damit erwischt du vielleicht die Viren in Mails oder Uploads.

 

[Jesaja]

Musst nur du auf Phpmyadmin usw zugreifen?

Dann würde ich dir empfehlen, ein VPN einzurichten und alle Adminsachen nur da zur Verfügung zu stellen.
Gleiches kann man dann auch für SSH machen und die Verbindung zur Datenbank kann man dann auch direkt mit reinpacken.

 

[rolapp]

SSH Tunnel ist eine Möglichkeit. Fals du zu Hause Linux hast kann ich Dir eine Anleitung geben, wie ich das gelöst habe.

 

[GwenDragon]

Selbst mit ssh von Git für Windows oder PLink von PuTTY sind Zugriffe auf SSH-Tunnel möglich.