さくらVPSのCentOS6をCentOS7へ再構築する(1) -初期設定とapache関連‐

（事前準備の部分は省略して…実際の構築部分から)

本投稿は、Apache、バーチャルホストの設定、SiteGardLite、SSH、Firewallの設定です。
Nginxを使ってみたいのですが、SiteGardLiteとの連携の点でちょっと難しそうなのでPVもそんなにないしそのままApacheで使用することにしました。

1. さくらのVPSのコンパネにログインして、OSインストール→標準OSインストール→「SiteGardLite CentOS7(x84_x64)」を選択して再インストールしちゃいます。
2. インストール後SSHでログインして、アップデートして初期設定。
3. アップデート、ロケールの設定、メールエイリアスの設定、ユーザの追加、SSHの設定、FWの設定
   
   #　アップデート yum update -y #　ロケールの設定 localectl set-locale LANG=ja_JP.UTF-8 #　メールエイリアスの設定 cat /etc/aliases END root: xxxx@xxxx.xxx END newaliases #　ユーザの追加 useradd hogehoge passwd hogehoge (password phrase) usermod -G wheel hogehoge #　SSHの設定 su - hogehoge mkdir ~/.ssh cat> ~/.ssh/authorized_keys << END ssh-rsa (鍵情報…) END chmod 600 ~/.ssh/authorized_keys chmod 700 ~/.ssh/ exit vi /etc/ssh/sshd_config #Port 22 Port 20022 #PermitRootLogin yes PermitRootLogin no #PasswordAuthentication yes PasswordAuthentication no #UsePAM yes UsePAM no #　SSHDの再起動とFirewallの起動・有効化 systemctl reload sshd systemctl start firewalld systemctl enable firewalld #　FirewallへのSSHポートの追加 firewall-cmd --permanent --zone public --add-port 20022/tcp systemctl restart firewalld #　接続の確認後　22番ポートを止める、SoftEther用のPortを開けておく #　L2TP 500,4500　Softether xxxx　SiteGardLite　9443 firewall-cmd --list-all firewall-cmd --permanent --zone=public --remove-service=ssh firewall-cmd --permanent --add-service=https firewall-cmd --permanent --add-service=http firewall-cmd --permanent --zone public --add-port 500/udp firewall-cmd --permanent --zone public --add-port 4500/udp firewall-cmd --permanent --zone public --add-port xxxx/tcp firewall-cmd --permanent --zone public --add-port 9443/tcp systemctl restart firewalld

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55

   #　アップデート yum update -y #　ロケールの設定 localectl set-locale LANG=ja_JP.UTF-8 #　メールエイリアスの設定 cat  /etc/aliases  END root:          xxxx@xxxx.xxx END newaliases #　ユーザの追加 useradd hogehoge passwd hogehoge (password phrase) usermod -G wheel hogehoge #　SSHの設定 su - hogehoge mkdir  ~/.ssh cat> ~/.ssh/authorized_keys << END ssh-rsa (鍵情報…) END   chmod 600 ~/.ssh/authorized_keys chmod 700 ~/.ssh/ exit   vi /etc/ssh/sshd_config #Port 22 Port 20022 #PermitRootLogin yes PermitRootLogin no #PasswordAuthentication yes PasswordAuthentication no #UsePAM yes UsePAM no   #　SSHDの再起動とFirewallの起動・有効化 systemctl reload sshd systemctl start firewalld systemctl enable firewalld   #　FirewallへのSSHポートの追加 firewall-cmd --permanent --zone public --add-port 20022/tcp systemctl restart firewalld   #　接続の確認後　22番ポートを止める、SoftEther用のPortを開けておく #　L2TP 500,4500　Softether xxxx　SiteGardLite　9443 firewall-cmd --list-all firewall-cmd --permanent --zone=public --remove-service=ssh firewall-cmd --permanent --add-service=https firewall-cmd --permanent --add-service=http firewall-cmd --permanent --zone public --add-port 500/udp firewall-cmd --permanent --zone public --add-port 4500/udp firewall-cmd --permanent --zone public --add-port xxxx/tcp firewall-cmd --permanent --zone public --add-port 9443/tcp systemctl restart firewalld

4. SiteGardLiteのインストール
   ンターネット側からアクセスできるようにしてあるが、後にVPN経由でないとアクセスできないように変更する。
   詳細な手順書はさくらVPSのヘルプ参照。あえてアーカイブのファイル名はマスクしているので手順書参照。
   
   cd /opt/jp-secure/siteguardlite/ ./setup.sh cd ##　3.0から3.2へのアップデート wget http://progeny.sakura.ad.jp/siteguard/xxxx/apache/siteguardlitexxxxxxx.rpm rpm -Uvh siteguardlite-xxxxx.rpm #### admin/admin で　https://hostname:9443 にアクセスしてID/PWを変更する

   1 2 3 4 5 6 7

   cd /opt/jp-secure/siteguardlite/ ./setup.sh cd ##　3.0から3.2へのアップデート wget http://progeny.sakura.ad.jp/siteguard/xxxx/apache/siteguardlitexxxxxxx.rpm rpm -Uvh  siteguardlite-xxxxx.rpm #### admin/admin で　https://hostname:9443 にアクセスしてID/PWを変更する

5. Logwatchのインストール
   
   yum install -y logwatch vi /usr/share/logwatch/default.conf/logwatch.conf MailTo = Logwatch@xxxxx.xxxx Detail = High

   1 2 3 4

   yum install -y logwatch vi  /usr/share/logwatch/default.conf/logwatch.conf MailTo = Logwatch@xxxxx.xxxx Detail = High

6. Apache2.4の設定（/etc/httpd/conf/httpd.conf)
   
   rm -rf /etc/httpd/conf.d/welcome.conf vi /etc/httpd/conf/httpd.conf ========================= DocumentRoot "/var/www/html" Options Includes ExecCGI FollowSymLinks #AllowOverride None AllowOverride All <IfModule dir_module> DirectoryIndex index.html index.php </IfModule> #コメントアウト #ScriptAlias /cgi-bin/ "/var/www/cgi-bin/" AddHandler cgi-script .cgi .pl #コメントアウト #AddDefaultCharset UTF-8 ## 追加 TraceEnable off

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21

   rm -rf /etc/httpd/conf.d/welcome.conf   vi /etc/httpd/conf/httpd.conf ========================= DocumentRoot "/var/www/html" Options Includes ExecCGI FollowSymLinks #AllowOverride  None AllowOverride  All   <IfModule dir_module>     DirectoryIndex index.html index.php </IfModule>   #コメントアウト #ScriptAlias /cgi-bin/ "/var/www/cgi-bin/" AddHandler cgi-script .cgi .pl #コメントアウト #AddDefaultCharset UTF-8   ## 追加 TraceEnable off

7. Apache2.4の設定（/etc/httpd/conf.d/autoindex.conf)
   
   <Directory "/usr/share/httpd/icons"> #iconsディレクトリのファイル一覧を表示しないようにする Options MultiViews AllowOverride None Require all granted </Directory>

   1 2 3 4 5 6

   <Directory "/usr/share/httpd/icons"> #iconsディレクトリのファイル一覧を表示しないようにする     Options MultiViews     AllowOverride None     Require all granted </Directory>

8. ln -s /usr/bin/perl /usr/local/bin/perl
9. バーチャルホストの設定
   フォルダの作成
   mkdir -p /var/www/vhost/hogehoge.xxx
   
   cat >> /etc/httpd/conf.d/vhost.conf <<END ## unknown host names -> deny <VirtualHost _default_:80> ServerName any <Location /> Require all denied </Location> </VirtualHost> ## hogehoge.xxx は適宜変更 <VirtualHost *:80> ServerName hogehoge.xxx Serveralias www.hogehoge.xxx DocumentRoot /var/www/vhost/hogehoge.xxx ErrorLog logs/hogehoge.xxx-error_log SetEnvIf Remote_Addr xxx.xxx.xxx.xxx no_log CustomLog logs/hogehoge.xxx-access_log <Directory /var/www/vhost/hogehoge.xxx> AllowOverride All </Directory> </VirtualHost> END

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23

   cat >> /etc/httpd/conf.d/vhost.conf <<END ## unknown host names -> deny <VirtualHost _default_:80>     ServerName any     <Location />         Require all denied     </Location> </VirtualHost>   ## hogehoge.xxx は適宜変更 <VirtualHost *:80>     ServerName hogehoge.xxx     Serveralias www.hogehoge.xxx     DocumentRoot /var/www/vhost/hogehoge.xxx     ErrorLog logs/hogehoge.xxx-error_log     SetEnvIf Remote_Addr xxx.xxx.xxx.xxx no_log     CustomLog logs/hogehoge.xxx-access_log    <Directory /var/www/vhost/hogehoge.xxx>    AllowOverride All    </Directory> </VirtualHost>   END

10. SSLの設定
    vi /etc/httpd/conf.d/ssl.conf
    SSLProtocol all -SSLv2 -SSLv3
11. Apacheの再起動・デーモンの有効化
    systemctl restart httpd
    systemctl enable httpd
12. PHPアクセラレータ「OPcache」、KVSの「APCu」を導入する
    
    ##　参照URL ## http://www.atmarkit.co.jp/ait/articles/1602/25/news017.html pecl install zendopcache-7.0.5 pecl install apcu-4.0.10 vi /etc/php.d/apc.ini [opcache] zend_extension = /usr/lib64/php/modules/opcache.so opcache.enable = 1 opcache.enable_cli = 1 opcache.memory_consumption = 128 opcache.interned_strings_buffer = 8 opcache.max_accelerated_files = 4000 opcache.blacklist_filename = /etc/php.d/opcache*.blacklist [apcu] extension = apcu.so apc.enabled = 1 apc.enable_cli = 1 apc.shm_size = 64M apc.mmap_file_mask = /tmp/apc.XXXXXX systemctl restart httpd

    1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24

    ##　参照URL ## http://www.atmarkit.co.jp/ait/articles/1602/25/news017.html   pecl install zendopcache-7.0.5 pecl install apcu-4.0.10   vi /etc/php.d/apc.ini   [opcache] zend_extension = /usr/lib64/php/modules/opcache.so opcache.enable = 1 opcache.enable_cli = 1 opcache.memory_consumption = 128 opcache.interned_strings_buffer = 8 opcache.max_accelerated_files = 4000 opcache.blacklist_filename = /etc/php.d/opcache*.blacklist [apcu] extension = apcu.so apc.enabled = 1 apc.enable_cli = 1 apc.shm_size = 64M apc.mmap_file_mask = /tmp/apc.XXXXXX   systemctl restart httpd

13. Let’s Encryptを導入する
    yum install -y certbot certbot-apache
    certbot run –apache -d hogehoge.xxx
    #メールアドレスの入力、同意確認、SSHをどうしようするか確認される
    #1だと新たにSSL用のVhost.confを作成してくれるだけ、2だとHTTP->HTTPSへのリダイレクトなはず。。。
14. Apacheの再起動
    これで問題なくアクセスできるか確認する。
15. Let’s Encryptの自動更新コマンドをCronに書いておく(※記述が間違っていたので修正 17/7/17)
    
    crontab -e #### Let's Encrypt 05 1 * * 1 certbot renew --pre-hook "service stop httpd" --post-hook "service start httpd" >> /var/log/letsencrypt.log

    1 2 3

    crontab -e #### Let's Encrypt 05 1 * * 1 certbot renew --pre-hook "service  stop httpd" --post-hook "service  start httpd" >> /var/log/letsencrypt.log

    
    実行時間とかは、環境に合わせて修正してくださいな。

Tweet

Share on Tumblr