EMOS 升级
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章 原始出处 、作者信息和本声明。否则将追究法律责任。http://coolerfeng.blog.51cto.com/133059/46927 |
EMOS 1.2安装好了,然后设置好MX交换记录后,这个企业邮局就可以开始工作了
但是为了更好的使用.我们需要对他进行一些优化
1.升级系统中的软件版本.
yum -y upgrade
时间比较长.
2.由于extman有校验码,需要校对时间
yum -y install ntp
crontab -e
*/15 * * * * /usr/sbin/ntpdate 210.72.145.44 > /dev/null 2>&1
3 升级clamav的版本
1，编辑etc/postfix/main.cf，注释掉这一行如下。
##content_filter = smtp:[127.0.0.1]:10024 执行一下 [root@mail etc]#postfix stop 停掉clamd,amavisd，为了安全。 [root@mail etc]# /etc/init.d/clamd stop Stopping Clam AntiVirus Daemon: [ OK ] [root@mail etc]# /etc/init.d/amavisd stop Shutting down amavisd: [ OK ] amavisd stopped 升级ClamAV 首先加入 dag vi /etc/yum.repos.d/dag.repo [dag] name=Dag RPM Repository for Red Hat Enterprise Linux baseurl=http://apt.sw.be/redhat/el$releasever/en/$basearch/dag gpgcheck=1 enabled=1 [root@mail ]rpm --import http://dag.wieers.com/rpm/packages/RPM-GPG-KEY.dag.txt [root@mail etc]# yum update clamav 恢复配置文件
[root@mail etc]# cp /etc/clamd.conf.rpmnew /etc/clamd.conf
[root@mail etc]# vi /etc/clamd.conf
改如下行： LocalSocket /var/run/clamav/clamd.sock #TCPSocket 3310 说明注释掉该行 AllowSupplementaryGroups yes 升级完成后：
编辑/etc/postfix/main.cf，去掉注释。 content_filter = smtp:[127.0.0.1]:10024 重启postfix [root@mail etc]# postfix start 启动clamd [root@mail etc]# /etc/init.d/clamd start Starting Clam AntiVirus Daemon: [ OK ] 启动amavisd [root@mail etc]# /etc/init.d/amavisd start Starting amavisd: [ OK ] 然后更新病毒库
/usr/bin/freshclam
稍后就可以看到病毒库更新的结果了
4.升级其他的包,maildrop,webmin等
rpm -e maildrop
rpm -e maildrop-man 由于有包依赖关系,需要安装一个
rpm -ivh gamin-0.1.7-1.2.EL4.i386.rpm
然后再 rpm -ivh maildrop-2.0.1-2.i386.rpm
rpm -ivh maildrop-man-2.0.1-2.i386.rpm
修改amavisd-new原配置
解决：原amavisd-new在/etc/amavisd.conf配置中 QUOTE:
$final_virus_destiny = D_DISCARD; 改为： QUOTE:
$final_virus_destiny = D_PASS; 也就是不会直接扔掉可能带病毒的邮件，而是加上邮件头后，把邮件作为附件继续发送给对应的用户。 安装webmin
把需要安装的rpm都装上即可.
然后可以通过https://ip:10000来访问
需要注意的是要打开防火墙中的１００００端口．
5.系统加固:
禁止Control-Alt-Delete 键盘关闭命令
在"/etc/inittab" 文件中注释掉下面这行（使用#）： ca::ctrlaltdel:/sbin/shutdown -t3 -r now 改为： #ca::ctrlaltdel:/sbin/shutdown -t3 -r now 为了使这项改动起作用，输入下面这个命令： # /sbin/init q 给"/etc/rc.d/init.d" 下script文件设置权限 给执行或关闭启动时执行的程序的script文件设置权限。 # chmod -R 700 /etc/rc.d/init.d/* 这表示只有root才允许读、写、执行该目录下的script文件。 修改"/etc/host.conf"文件 "/etc/host.conf"说明了如何解析地址。编辑"/etc/host.conf"文件（vi /etc/host.conf），加入下面这行： # Lookup names via DNS first then fall back to /etc/hosts. order bind,hosts # We have machines with multiple IP addresses. multi on # Check for IP address spoofing. nospoof on 第一项设置首先通过DNS解析IP地址，然后通过hosts文件解析。第二项设置检测是否"/etc/hosts"文件中的主机是否拥有多个IP地址（比如有多个以太口网卡）。第三项设置说明要注意对本机未经许可的电子欺骗。 使"/etc/services"文件免疫 使"/etc/services"文件免疫，防止未经许可的删除或添加服务： # chattr +i /etc/services 8.阻止你的系统响应任何从外部/内部来的ping请求。 既然没有人能ping通你的机器并收到响应，你可以大大增强你的站点的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local，以使每次启动后自动运行。 echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all 对你的系统上所有的用户设置资源限制可以防止DoS类型攻击（denial of service attacks） 如最大进程数，内存数量等。例如，对所有用户的限制象下面这样： vi /etc/security/limits.conf 下面的代码示例中，所有用户每个会话都限制在 10 MB，并允许同时有四个登录。第三行禁用了每个人的内核转储。第四行除去了用户 bin 的所有限制。ftp 允许有 10 个并发会话（对匿名 ftp 帐号尤其实用）；managers 组的成员的进程数目限制为 40 个。developers 有 64 MB 的 memlock 限制，wwwusers 的成员不能创建大于 50 MB 的文件。 清单 3. 设置配额和限制 * hard rss 10000 * hard maxlogins 4 * hard core 0 bin - ftp hard maxlogins 10 @managers hard nproc 40 @developers hard memlock 64000 @wwwusers hard fsize 50000 要激活这些限制，您需要在 /etc/pam.d/login 底部添加下面一行： session required /lib/security/pam_limits.so。 注释掉不需要的用户和用户组。 用chattr命令给下面的文件加上不可更改属性。 [root@deep]# chattr +i /etc/passwd [root@deep]# chattr +i /etc/shadow [root@deep]# chattr +i /etc/group [root@deep]# chattr +i /etc/gshadow 注意执行这个操作后，以root身份都不能向系统增加用户或者修改密码了。如果我们要增加用户或者修改密码的。应该先用chattr -i /etc/passwd等命令解除不可写设置，再进行操作。 改变sshd缺省端口 SSHD的默认端口就是 22 ，地球人都知道，通常黑客在没有准确目标的情况下要寻找 Linux机器的最好方法就是扫描所有开放了 22 端口的机器，然后放在一个列表里，一个个去探求它的漏洞。 比如 nmap4 的新功能 nmap -v -iR 10000 -P0 -p 22 可随机在10000个IP里去寻找开放了 22 端口的机器。当然也可以有目标的把日本或者其他国家的ip段添上再扫描。 通常是按照服务对应的常规端口去扫描，除非用全端口1-65535，但除非是针对性的对一台机器扫描，否则这样效率不高。 把默认端口改变成60022的步骤如下： vi /etc/ssh/sshd_config 找到#Port 22，标识默认使用22端口，如果需要更改为8888则去掉前面的 # 注释符号，修改为：Port 60022 然后重启服务进程 # /etc/init.d/sshd restart sshd_config其他安全选项 把 #PermitRootLogin yes 改为 PermitRootLogin no 可防止 root 远程登陆 把 #Protocol 1,2 改 Protocol 2 ，不用 SSH protocol 1 协议，只用 2 当然还有一些选项，视需要而定，比如：Banner的伪造、登陆失败后的的锁定时间、是否允许空口令帐号登陆、服务器密钥的位数等、允许登陆的用户和IP等。 内核参数调整 sysctl -w net.ipv4.conf.default.accept_source_route=0 sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1 #sysctl -w net.ipv4.icmp_echo_ignore_all=1 sysctl -w net.ipv4.icmp_ignore_bogus_error_responses=1 sysctl -w net.ipv4.ip_conntrack_max=65535 sysctl -w net.ipv4.tcp_syncookies=1 sysctl -w net.ipv4.tcp_syn_retries=1 sysctl -w net.ipv4.tcp_fin_timeout=5 sysctl -w net.ipv4.tcp_synack_retries=1 sysctl -w net.ipv4.tcp_syncookies=1 sysctl -w net.ipv4.route.gc_timeout=100 sysctl -w net.ipv4.tcp_keepalive_time=500 sysctl -w net.ipv4.tcp_max_syn_backlog=10000 经常检查系统日志。系统日志主要位于/var/log/目录下。防患于未然。 本文出自 “风吹云动” 博客，请务必保留此出处http://coolerfeng.blog.51cto.com/133059/46927 本文出自 51CTO.COM技术博客 |
coolerfeng
博客统计信息
热门文章
最新评论
友情链接
