Debian 綜合服務(wù)實(shí)訓(xùn)Apache2、Samba、LDAP、vsftpd 與 OpenVPN1. 服務(wù)介紹本文整理一套 Debian 綜合服務(wù)實(shí)驗(yàn)不只包含 Apache2Apache2 負(fù)責(zé) HTTP/HTTPS 網(wǎng)站和 LDAP 認(rèn)證Samba 提供 SMB 文件共享OpenLDAP 保存統(tǒng)一賬號(hào)vsftpd 提供受限 FTP 傳輸OpenVPN 提供遠(yuǎn)程訪問。每個(gè)服務(wù)都有獨(dú)立配置和驗(yàn)證步驟適合網(wǎng)絡(luò)服務(wù)綜合實(shí)訓(xùn)。目標(biāo)包括? Apache2 發(fā)布www.chinaskills.cn啟用 HTTPS、HTTP 重定向、LDAP 認(rèn)證和安全響應(yīng)頭。? Samba 提供認(rèn)證共享和匿名公共共享結(jié)合 SGID/sticky bit 控制刪除權(quán)限。? OpenLDAP 創(chuàng)建chinaskills.cn目錄和ldsgp用戶組為 Apache/Samba 提供認(rèn)證。? vsftpd 提供虛擬用戶 FTP限制根目錄和上傳類型。? OpenVPN 為 OutsideCli 分配172.16.0.100-172.16.0.120地址只允許訪問授權(quán)內(nèi)網(wǎng)。2. 準(zhǔn)備運(yùn)行環(huán)境? Debian 服務(wù)器Apache2、Samba、OpenLDAP、vsftpd、OpenVPN 可按角色部署在獨(dú)立主機(jī)也可在實(shí)驗(yàn)中合并。? 角色示例WebSrv、StorageSrv、RouterSrv、OutsideCli、InsideCli。? 權(quán)限r(nóng)oot 或 sudo 管理賬號(hào)數(shù)據(jù)庫(kù)、LDAP bind 密碼和 VPN 私鑰使用安全存儲(chǔ)。? DNS準(zhǔn)備www.chinaskills.cn、download.chinaskills.cn等解析客戶端 DNS 必須指向可解析這些名稱的服務(wù)器。? 證書準(zhǔn)備受信任 CA 根證書和 Web 服務(wù)器證書證書 SAN 必須包含訪問域名。? 網(wǎng)絡(luò)HTTP TCP 80、HTTPS TCP 443、SMB TCP 445、LDAP TCP 389/636、FTP TCP 21、OpenVPN UDP 1194 按拓?fù)浞判小? 文件目錄網(wǎng)站/webdataSamba/data/share1與/data/publicFTP 根目錄按實(shí)際配置創(chuàng)建。? 示例地址文章只使用文檔網(wǎng)段和占位域名不要復(fù)制原實(shí)驗(yàn)中的公網(wǎng)地址、密碼或共享密鑰。3. 相關(guān)知識(shí)與注意點(diǎn)? Apache 虛擬主機(jī)、TLS 證書、LDAP 認(rèn)證、目錄權(quán)限和防火墻必須同時(shí)正確單獨(dú)看到 443 監(jiān)聽不能證明站點(diǎn)可用。?ServerTokens Prod和ServerSignature Off可以減少版本泄露但不能替代補(bǔ)丁、WAF 和最小權(quán)限。? Samba 的上傳權(quán)限由目錄權(quán)限、smb.conf、有效用戶和客戶端認(rèn)證共同決定匿名共享不要與敏感目錄復(fù)用。? SGID 目錄讓新文件繼承組sticky bit 限制刪除者為文件所有者、目錄所有者或 root。不要用chmod -R 777代替權(quán)限設(shè)計(jì)。? LDAP 密碼、管理員 DN 和證書私鑰不能寫入文章或命令歷史生產(chǎn)環(huán)境啟用 LDAPS 或 StartTLS限制匿名查詢。? FTP 明文傳輸風(fēng)險(xiǎn)高。實(shí)驗(yàn)使用 vsftpd 時(shí)應(yīng)啟用 FTPS、限制用戶根目錄和被動(dòng)端口生產(chǎn)優(yōu)先使用 SFTP/HTTPS。? OpenVPN 地址池必須避開現(xiàn)有網(wǎng)段VPN 已連接不等于內(nèi)網(wǎng)可達(dá)還要檢查路由、轉(zhuǎn)發(fā)、NAT 和防火墻。? 每項(xiàng)修改先做語法檢查再 reload/restart驗(yàn)證同時(shí)看服務(wù)狀態(tài)、監(jiān)聽端口、日志和客戶端結(jié)果。4. 實(shí)驗(yàn)步驟4.1 Apache2 網(wǎng)站、HTTPS 與 LDAP 認(rèn)證安裝基礎(chǔ)組件apt update apt install -y apache2 openssl libapache2-mod-ldap-userdir \ libapache2-mod-ldap-userdir ldap-utils systemctl enable --now apache2創(chuàng)建網(wǎng)站目錄和首頁(yè)install -d -o root -g www-data -m 0755 /webdata printf %s\n This is the front page of CSKs website /webdata/index.html chown root:www-data /webdata/index.html chmod 0644 /webdata/index.html創(chuàng)建虛擬主機(jī)/etc/apache2/sites-available/www.chinaskills.cn.confVirtualHost *:80 ServerName www.chinaskills.cn DocumentRoot /webdata Redirect permanent / https://www.chinaskills.cn/ Directory /webdata Options -Indexes AllowOverride None Require all granted /Directory /VirtualHost VirtualHost *:443 ServerName www.chinaskills.cn DocumentRoot /webdata SSLEngine on SSLCertificateFile /etc/ssl/certs/www.chinaskills.cn.crt SSLCertificateKeyFile /etc/ssl/private/www.chinaskills.cn.key Directory /webdata Options -Indexes AllowOverride None Require all granted /Directory ServerTokens Prod ServerSignature Off /VirtualHost啟用模塊、站點(diǎn)并檢查a2enmod ssl rewrite ldap authnz_ldap headers a2ensite www.chinaskills.cn.conf apachectl configtest systemctl reload apache2原實(shí)驗(yàn) Apache 配置截圖目錄列表、下載文件和安全響應(yīng)頭按題目要求配置。大文件下載、上傳和日志目錄要單獨(dú)評(píng)估磁盤空間不能把 Web 根目錄設(shè)置為可寫。4.2 設(shè)置 SUID、SGID 與 sticky bit查看特殊權(quán)限ls -ld /data /data/public find /usr/bin -perm -4000 -type f -ls共享目錄示例install -d -o root -g sambashare -m 2770 /data/share1 install -d -o user01 -g sambashare -m 3770 /data/public2770表示目錄 SGID3770表示 SGID 加 sticky bit。實(shí)際用戶和組按 LDAP/Samba 賬號(hào)調(diào)整。4.3 Samba 認(rèn)證共享和公共共享安裝 Sambaapt install -y samba smbclient cp -a /etc/samba/smb.conf /etc/samba/smb.conf.bak.$(date %F-%H%M%S)配置/etc/samba/smb.conf[global] workgroup WORKGROUP security user map to guest Bad User server min protocol SMB2 [share1] path /data/share1 read only no browseable yes valid users sambashare force group sambashare create mask 0660 directory mask 2770 [public] path /data/public guest ok yes map to guest Bad User read only no browseable yes force group sambashare create mask 0660 directory mask 3770為認(rèn)證用戶設(shè)置 Samba 密碼smbpasswd -a user01 smbpasswd -e user01 testparm -s systemctl restart smbd nmbd原實(shí)驗(yàn)共享目錄和配置截圖驗(yàn)證smbclient -L //127.0.0.1 -U user01 smbclient //127.0.0.1/share1 -U user01 smbclient //127.0.0.1/public -N公共目錄要求所有用戶上傳但只有文件所有者、目錄所有者或 root 刪除文件?？蛻舳耸褂胮ut/get測(cè)試上傳下載再用不同用戶驗(yàn)證刪除權(quán)限。4.4 OpenLDAP 目錄服務(wù)安裝 OpenLDAPapt install -y slapd ldap-utils migrationtools初始化目錄時(shí)統(tǒng)一使用示例基準(zhǔn) DN例如dcchinaskills,dccn。管理員 DN、密碼不要寫入公開文檔。檢查服務(wù)systemctl enable --now slapd ldapwhoami -x -H ldap://127.0.0.1 -D cnadmin,dcchinaskills,dccn -W ldapsearch -x -H ldap://127.0.0.1 -b dcchinaskills,dccn -s base原實(shí)驗(yàn) LDAP 配置和目錄導(dǎo)入截圖LDAP 賬戶接入系統(tǒng)、Apache 或 Samba 前先確認(rèn)查詢結(jié)果再調(diào)整 NSS/PAM、authnz_ldap或 Samba 后端。不要為了測(cè)試刪除本地 root 或保留唯一遠(yuǎn)程管理員。4.5 vsftpd 虛擬用戶安裝并啟用 FTPapt install -y vsftpd db-util cp -a /etc/vsftpd.conf /etc/vsftpd.conf.bak.$(date %F-%H%M%S) systemctl enable --now vsftpdFTP 根目錄使用獨(dú)立系統(tǒng)賬號(hào)虛擬用戶只映射到該賬號(hào)。啟用 FTPS、Chroot 和被動(dòng)端口后再測(cè)試不在配置中寫明文密碼anonymous_enableNO local_enableYES write_enableYES chroot_local_userYES allow_writeable_chrootNO pasv_min_port30000 pasv_max_port30100 ssl_enableYES force_local_logins_sslYES force_local_data_sslYES原實(shí)驗(yàn) FTP 配置截圖4.6 OpenVPN 遠(yuǎn)程訪問題目要求 VPN 客戶端只能訪問 InsideCli 網(wǎng)段和 StorageSrv 的 Samba 服務(wù)地址池為172.16.0.100-172.16.0.120。安裝 OpenVPN 和證書工具apt install -y openvpn easy-rsa systemctl enable openvpn-serverserver服務(wù)端配置核心項(xiàng)port 1194 proto udp dev tun server 172.16.0.0 255.255.255.0 ifconfig-pool-persist /var/log/openvpn/ipp.txt push route 172.16.0.0 255.255.255.0 keepalive 10 120 persist-key persist-tun user nobody group nogroup status /var/log/openvpn/status.log log-append /var/log/openvpn/server.log verb 3證書和私鑰文件只允許 root 讀取。VPN 客戶端配置中的remote、CA、客戶端證書、私鑰和端口必須與服務(wù)端一致。源文檔截圖啟動(dòng)并驗(yàn)證systemctl restart openvpn-serverserver systemctl --no-pager status openvpn-serverserver ip addr show tun0 ip route journalctl -u openvpn-serverserver -n 50 --no-pager防火墻只放行 VPN 入口和授權(quán)轉(zhuǎn)發(fā)路徑不要把 VPN 客戶端默認(rèn)路由無條件推向服務(wù)器。5. 驗(yàn)證結(jié)果5.1 Apache/HTTPSapachectl configtest systemctl is-active apache2 ss -lntp | grep -E :80|:443 curl -I http://www.chinaskills.cn/ curl -k -I https://www.chinaskills.cn/ tail -n 50 /var/log/apache2/error.log預(yù)期Apache activeHTTP 重定向到 HTTPS證書域名和信任鏈正確日志無持續(xù)錯(cuò)誤。5.2 Samba/LDAPtestparm -s smbclient -L //127.0.0.1 -U user01 ldapsearch -x -H ldap://127.0.0.1 -b dcchinaskills,dccn (objectClass*) dn getent passwd user01預(yù)期Samba 共享可發(fā)現(xiàn)認(rèn)證用戶能按權(quán)限上傳下載LDAP 能查詢目錄NSS/PAM 配置正確時(shí)能解析目錄用戶。5.3 vsftpd/OpenVPNsystemctl is-active vsftpd ss -lntp | grep :21 ss -lunp | grep :1194 ip addr show tun0 ip route journalctl -u vsftpd -n 50 --no-pager journalctl -u openvpn-serverserver -n 50 --no-pager客戶端驗(yàn)證FTP 用戶被限制在目標(biāo)根目錄VPN 客戶端獲得172.16.0.100-172.16.0.120地址只能訪問題目授權(quán)網(wǎng)段和 Samba 服務(wù)。6. 常見問題排查? **Apache 403/404**檢查虛擬主機(jī)匹配、DocumentRoot、目錄權(quán)限、Require all granted和錯(cuò)誤日志。? **HTTPS 警告**檢查 CA 信任、SAN、有效期、私鑰和中間證書不要用關(guān)閉驗(yàn)證替代修復(fù)。? **LDAP 認(rèn)證失敗**先用ldapsearch驗(yàn)證目錄和 bind再檢查 Apache DN/filter、Samba 后端和 TLS 信任。? **Samba 上傳成功但不能刪除**檢查 SGID/sticky bit、目錄屬主屬組和 Sambacreate mask/directory mask。? **Samba 匿名共享過寬**關(guān)閉 guest 或限制網(wǎng)絡(luò)來源匿名可寫目錄不能存放配置、備份和密鑰。? **FTP 登錄越權(quán)**檢查chroot_local_user、系統(tǒng)賬號(hào)、文件權(quán)限和 PAM生產(chǎn)優(yōu)先使用 SFTP/HTTPS。? **OpenVPN 連接成功但內(nèi)網(wǎng)不通**檢查ip_forward、路由、NAT、FORWARD 規(guī)則和授權(quán)網(wǎng)段VPN 地址池不能與現(xiàn)有網(wǎng)段重疊。? **OpenVPN 服務(wù)啟動(dòng)失敗**執(zhí)行openvpn --config /etc/openvpn/server.conf --test-crypto或查看 journal確認(rèn)證書、私鑰和配置語法。? **版本信息泄露**檢查ServerTokens Prod、ServerSignature Off和響應(yīng)頭不要只隱藏頁(yè)面文本。