【Linux】LAMP集群分布式安全方案

RememberLey2024-05-25 19:04

LAMP集群分布式安全方案主要涉及确保Linux、Apache、MySQL和PHP（LAMP）组合构成的集群环境的安全性和稳定性。

  • 本次实验通过网络层安全对防火墙配置：使用防火墙（如iptables或firewalld）来限制对集群的访问，只允许必要的端口（如HTTP/HTTPS端口、SSH端口等）对外开放。

LAMP集群分布式安全方案

  • [（一）Web 服务器](#（一）Web 服务器)
    • [1. 配置步骤+前期准备](#1. 配置步骤+前期准备)
      • [1.1 修改IP和主机名](#1.1 修改IP和主机名)
      • [1.2 关闭防火墙和SELinux](#1.2 关闭防火墙和SELinux)
      • [1.3 修改ssh服务的端口并进行远程连接](#1.3 修改ssh服务的端口并进行远程连接)
    • [2. 安装httpd（Apache HTTP Server）](#2. 安装httpd（Apache HTTP Server）)
    • [3. 安装PHP及其相关扩展](#3. 安装PHP及其相关扩展)
    • [4. 安装phpMyAdmin并配置它以连接到MariaDB服务器](#4. 安装phpMyAdmin并配置它以连接到MariaDB服务器)
      • [4.1 安装phpMyAdmin并测试](#4.1 安装phpMyAdmin并测试)
      • [4.2 配置并连接到MariaDB服务器](#4.2 配置并连接到MariaDB服务器)
  • （二）数据库服务器
    • [1. 配置步骤+前期准备](#1. 配置步骤+前期准备)
    • [2. 安装MariaDB。](#2. 安装MariaDB。)
    • [3. 创建一个数据库和相应的用户，并为该用户授予适当的权限。](#3. 创建一个数据库和相应的用户，并为该用户授予适当的权限。)
    • [4. 确保防火墙和安全组规则允许来自Web服务器的数据库连接（通常是TCP端口3306）。](#4. 确保防火墙和安全组规则允许来自Web服务器的数据库连接（通常是TCP端口3306）。)
  • （三）测试机
    • [1. 修改IP和主机名、ssh的端口、关闭防火墙和SELinux](#1. 修改IP和主机名、ssh的端口、关闭防火墙和SELinux)
    • [2. 测试](#2. 测试)
  • （四）在网络层安全对防火墙配置
    • [1. 增加httpd端口](#1. 增加httpd端口)
    • [2. 修改端口](#2. 修改端口)
    • [3. 防火墙安全设置](#3. 防火墙安全设置)
      • [3.1 web服务器防火墙配置](#3.1 web服务器防火墙配置)
      • [3.2 数据库防火墙配置](#3.2 数据库防火墙配置)
      • [3.3 sshd防火墙配置](#3.3 sshd防火墙配置)

搭建LANP集群
ssh port10022 ssh port10022 ssh port10022 测试机 web服务器 远程连接MobaXterm 数据库
通过80端口访问web服务器 测试机 httpd php-fpm phpmyadmin 数据库

hostname ip 系统
ley-web 10.0.0.99 rhel-baseos-9.0-x86_64-dvd.iso
ley-mari 10.0.0.110 rhel-baseos-9.0-x86_64-dvd.iso
ley-test 10.0.0.88 rhel-baseos-9.0-x86_64-dvd.iso

（一）Web 服务器

1. 配置步骤+前期准备

httpd (Apache HTTP Server) ：这是一个流行的Web服务器软件，用于托管网站和提供HTTP服务。
PHP ：PHP是一种用于Web开发的服务器端脚本语言。它允许您在HTML中嵌入代码来生成动态网页内容。
phpMyAdmin：phpMyAdmin是一个基于Web的MySQL管理工具，您可以使用它来管理MySQL或MariaDB数据库。它使用PHP编写，并通过Web服务器（如Apache）进行访问。

  • 安装httpd（Apache HTTP Server）。
    安装PHP及其相关扩展（如php-mysql，用于与数据库通信）。
    安装phpMyAdmin并配置它以连接到MariaDB服务器。
    配置Apache以支持PHP和phpMyAdmin（例如，通过.htaccess文件或httpd.conf）。
    确保防火墙和安全组规则允许对Web服务器的HTTP和HTTPS访问。

1.1 修改IP和主机名

javascript 复制代码 
[root@ley-306 ~]# hostnamectl set-hostname ley-web  //修改主机名
[root@ley-306 ~]# hostname
ley-web

修改成ley-web，重启主机输入reboot生效

修改IP参考此博客固定IP地址配置

1.2 关闭防火墙和SELinux

javascript 复制代码 
[root@ley-web ~]# systemctl stop firewalld.service 
[root@ley-web ~]# vim /etc/selinux/config 
[root@ley-web ~]# systemctl disable firewalld.service 
Removed /etc/systemd/system/multi-user.target.wants/firewalld.service.
Removed /etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service.

1、临时关闭:输入命令setenforce 0,重启系统后还会开启。 
2、永久关闭:输入命令vi /etc/selinux/config,将SELINUX=enforcing改为SELINUX=disabled


1.3 修改ssh服务的端口并进行远程连接

javascript 复制代码 
[root@ley-web ~]# vim /etc/ssh/sshd_config
//编辑/etc/ssh/sshd_config，找到port，去掉"#"，将22改成1002
[root@ley-web ~]# systemctl restart sshd  //重启sshd服务
[root@ley-web ~]# netstat -tunlp | grep sshd
tcp        0      0 0.0.0.0:10022           0.0.0.0:*               LISTEN      860/sshd: /usr/sbin 
tcp6       0      0 :::10022                :::*                    LISTEN      860/sshd: /usr/sbin
  • 如果重启报错！！！
javascript 复制代码 
[root@ley-web ~]# yum -y install openssh   
//查看是否安装了openssh服务，安装完后重启reboot，就能成功修改sshd服务的端口
  • 远程连接，将默认端口22改成10022

2. 安装httpd（Apache HTTP Server）

javascript 复制代码 
[root@ley-web ~]# yum -y install httpd   //安装
[root@ley-web ~]# systemctl start httpd   //启动httpd服务
[root@ley-web ~]# systemctl enable httpd	//开机自启动httpd服务

3. 安装PHP及其相关扩展

javascript 复制代码 
[root@ley-web ~]# yum install php php-mysqlnd php-fpm		//安装
[root@ley-web ~]# systemctl start php-fpm.service		//启动
[root@ley-web ~]# systemctl enable php-fpm.service		//开机自启
Created symlink /etc/systemd/system/multi-user.target.wants/php-fpm.service → /usr/lib/systemd/system/php-fpm.service.
  • 测试php：创建一个PHP测试页面来验证LAMP服务器是否已正确安装和配置。在Apache的文档根目录（通常是/var/www/html/）中创建一个名为info.php的文件
javascript 复制代码 
[root@ley-web html]# systemctl restart httpd
[root@ley-web html]# cd
[root@ley-web ~]# systemctl restart httpd
[root@ley-web ~]# cd /var/www/html/
[root@ley-web html]# cat info.php
<?php
 phpinfo();
 ?>
[root@ley-web html]# systemctl restart httpd
  • 回到虚拟机进入火狐输入web服务器IP：10.0.0.99，测试http
  • 输入10.0.0.99/info.php，测试php

    测试成功！！！

4. 安装phpMyAdmin并配置它以连接到MariaDB服务器

4.1 安装phpMyAdmin并测试

javascript 复制代码 
[root@ley-web html]# cd   //在/root目录下获取压缩包
[root@ley-web ~]# wget https://www.phpmyadmin.net/downloads/phpMyAdmin-latest-all-languages.tar.gz		
[root@ley-web ~]# tar -xvzf phpMyAdmin-latest-all-languages.tar.gz		//解压缩
javascript 复制代码 
[root@ley-web ~]# ls    //看到解压缩后phpMyAdmin-5.2.1-all-languages
[root@ley-web ~]# mv phpMyAdmin-5.2.1-all-languages phpMyAdmin   //对phpMyAdmin-5.2.1-all-languages重命名为phpMyAdmin
[root@ley-web ~]# ls   //查看到phpMyAdmin
[root@ley-web ~]# mv phpMyAdmin /var/www/html/
//将其移到/var/www/html/目录下
javascript 复制代码 
[root@ley-web html]# systemctl restart httpd
[root@ley-web html]# systemctl restart php-fpm
  • 输入10.0.0.99/phpMyAdmin/index.php，测试成功！！！

报错！！！

    • 输入10.0.0.99/phpMyAdmin/index.php，出现空白界面
javascript 复制代码 
[root@ley-web httpd]# yum -y update   //更新，再尝试重启服务，刷新页面就能成功！
[root@ley-web html]# systemctl restart httpd
[root@ley-web html]# systemctl restart php-fpm

4.2 配置并连接到MariaDB服务器

javascript 复制代码 
[root@ley-web ~]# cd /var/www/html
[root@ley-web html]# ls
info.php  phpMyAdmin
[root@ley-web html]# cd phpMyAdmin/
[root@ley-web phpMyAdmin]# ls
//如果不是config.inc.php，而是config.sample.inc.php，就将文件改成config.inc.php
[root@ley-web phpMyAdmin]# vim config.inc.php
javascript 复制代码 
$cfg['Servers'][$i]['host'] = '10.0.0.110';		// 如果你的数据库服务器在另一台机器上，这里改为该机器的 IP 或域名
$cfg['Servers'][$i]['compress'] = false;
$cfg['Servers'][$i]['AllowNoPassword'] = false;
$cfg['Servers'][$i]['user'] = 'ley'; // 这里填入你的 MySQL/MariaDB 用户名
$cfg['Servers'][$i]['password'] = '123456'; // 这里填入你的 MySQL/MariaDB 密码
$cfg['Servers'][$i]['port'] = '3306'; // 默认 MariaDB/MySQL 端口是 3306
$cfg['Servers'][$i]['socket'] = ''; // 如果你的服务器使用 socket 连接，这里指定 socket 路径


javascript 复制代码 
[root@ley-web phpMyAdmin]# systemctl restart httpd.service
[root@ley-web phpMyAdmin]# systemctl restart php-fpm.service

（二）数据库服务器

1. 配置步骤+前期准备

安装MariaDB。

配置MariaDB以允许来自Web服务器的连接（修改my.cnf或mariadb.cnf配置文件中的bind-address）。

创建一个数据库和相应的用户，并为该用户授予适当的权限。

确保防火墙和安全组规则允许来自Web服务器的数据库连接（通常是TCP端口3306）。

  • IP和ssh的端口设为10022，操作如web服务器
    并进行远程连接

  • 关闭防火墙和SELinux
javascript 复制代码 
# systemctl stop firewalld.service 
# vim /etc/selinux/config 
# systemctl disable firewalld.service 
1、临时关闭:输入命令setenforce 0,重启系统后还会开启。 
2、永久关闭:输入命令vi /etc/selinux/config,将SELINUX=enforcing改为SELINUX=disabled

2. 安装MariaDB。

javascript 复制代码 
[root@ley-mari ~]# yum -y install mariadb-server
[root@ley-mari ~]# systemctl start mariadb.service    //启动
[root@ley-mari ~]# systemctl enable mariadb.service		//开机自启

3. 创建一个数据库和相应的用户，并为该用户授予适当的权限。

javascript 复制代码 
[root@ley-mari ~]# mysql_secure_installation
//更改root用户密码，并允许远程登录


javascript 复制代码 
[root@ley-mari ~]# mysql -u root -p
Enter password:				//输入root用户密码
Welcome to the MariaDB monitor.  Commands end with ; or \g.
Your MariaDB connection id is 17
Server version: 10.5.22-MariaDB MariaDB Server

Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

MariaDB [(none)]> SELECT User, Host FROM mysql.user;			//查看MariaDB中的所有用户，可以执行SQL查询
+-------------+-----------+
| User        | Host      |
+-------------+-----------+
| mariadb.sys | localhost |
| mysql       | localhost |
| root        | localhost |
+-------------+-----------+
3 rows in set (0.001 sec)

MariaDB [(none)]> CREATE USER 'ley'@'10.0.0.99' IDENTIFIED BY '123456';			//创建一个新用户并为其设置密码，可以使用CREATE USER语句
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> GRANT ALL PRIVILEGES ON mysql.* TO 'ley'@'10.0.0.99';		//使用GRANT语句为用户授予权限
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> FLUSH PRIVILEGES;			//刷新权限后退出
Query OK, 0 rows affected (0.000 sec)

MariaDB [(none)]> \q
Bye

4. 确保防火墙和安全组规则允许来自Web服务器的数据库连接（通常是TCP端口3306）。

确保防火墙和安全组规则允许对Web服务器的HTTP和HTTPS访问。

（三）测试机

1. 修改IP和主机名、ssh的端口、关闭防火墙和SELinux

操作如上

  • 关闭防火墙和SELinux
javascript 复制代码 
# systemctl stop firewalld.service 
# vim /etc/selinux/config 
# systemctl disable firewalld.service 
1、临时关闭:输入命令setenforce 0,重启系统后还会开启。 
2、永久关闭:输入命令vi /etc/selinux/config,将SELINUX=enforcing改为SELINUX=disabled

2. 测试

http://10.0.0.99/phpMyAdmin/index.php

输入账号和密码

在此LAMP集群搭建完毕！！！

（四）在网络层安全对防火墙配置

上面的LAMP集群搭建操作是在防火墙关闭的情况下，而LAMP集群分布式安全方案主要涉及确保Linux、Apache、MySQL和PHP（LAMP）组合构成的集群环境的安全性和稳定性。

  • 开启三台主机的防火墙，通过网络层安全对防火墙配置，使用防火墙（如iptables或firewalld）来限制对集群的访问，只允许必要的端口（如HTTP/HTTPS端口、SSH端口等）对外开放。
  • 为了使用防火墙（如iptables或firewalld）来限制对集群的访问，我们为httpd增加两个端口8080和10080 ，修改mariadb的端口为30306，而且三台主机在同一个网段可以通过ssh互相访问

实验要求

  1. 长方形内的服务在web服务器已经搭好了，在httpd增加至三个端口中，只允许10080端口访问web服务器，而web服务器也只能通过30306端口访问数据库

只通过10080端口访问web服务器 只通过30306端口访问数据库服务器 测试机 httpd php-fpm phpmyadmin 数据库

  1. 配置防火墙，阻止三台主机ssh互相访问

禁ssh 禁ssh ssh port10022 禁ssh 禁ssh ssh port10022 ssh port10022 测试机 web服务器 远程连接MobaXterm 数据库

1. 增加httpd端口

javascript 复制代码 
[root@ley-web httpd]# vim /etc/httpd/conf/httpd.conf
//增加httpd端口
Listen 8080
Listen 10080
[root@ley-web httpd]# systemctl restart httpd		//重启httpd服务
  • 测试：10080端口和8080端口是否可以访问

http://10.0.0.99:80/phpMyAdmin/index.php

http://10.0.0.99:8080/phpMyAdmin/index.php

http://10.0.0.99:10080/phpMyAdmin/index.php

  • 报错：如果在火狐访问phpMyAdmin出现拒绝访问，如下图所示。是火狐启动了安全机制，我们要修改火狐设置。

    在火狐输入about:config，点击Accept the Risk and Continue

    输入network.security.ports.banned.override，选择String

    点击加号键，将需访问网站的端口号添加8080和10080端口，中间用逗号隔开

    刷新http://10.0.0.99:10080/phpMyAdmin/index.php网页，就能成功访问了！

2. 修改端口

  • 在数据库中
javascript 复制代码 
[root@ley-mari ~]# cd /etc/my.cnf.d/
[root@ley-mari my.cnf.d]# ls
auth_gssapi.cnf  client.cnf  enable_encryption.preset  mariadb-server.cnf  mysql-clients.cnf  spider.cnf
[root@ley-mari my.cnf.d]# vim mariadb-server.cnf
[root@ley-mari my.cnf.d]# systemctl restart mariadb.service
[root@ley-mari my.cnf.d]# netstat -tunlp | grep mariadb
tcp6       0      0 :::30306                :::*                    LISTEN      2975/mariadbd
//30306设置成功
  • 在phpmyadmin中
javascript 复制代码 
[root@ley-web httpd]# vim /var/www/html/phpMyAdmin/config.inc.php  //将port改成30306

3. 防火墙安全设置

现在端口设置完成了，我们要打开防火墙，远程连接可能会断开，我们在本机操作，使用防火墙（如iptables或firewalld）来限制对集群的访问

3.1 web服务器防火墙配置

httpd有三个端口，通过防火墙设置只允许10080对集群进行访问，同时禁止80和8080端口访问。

javascript 复制代码 
//启动防火墙并设置开机自启
[root@ley-web ~]# systemctl start firewalld.service 
[root@ley-web ~]# systemctl restart firewalld.service 

[root@ley-web ~]# firewall-cmd --list-all

[root@ley-web ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.88" port protocol="tcp" port="10080" accept'			//允许测试机IP通过10080端口访问httpd
success
[root@ley-web ~]# firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.88" port protocol="tcp" port="80" reject'		//拒绝测试机通过80端口访问httpd
success
[root@ley-web ~]# firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.88" port protocol="tcp" port="8080" reject'		//拒绝测试机通过8080端口访问httpd
success
[root@ley-web ~]# firewall-cmd --reload		//重新加载firewalld
success
[root@ley-web ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens160
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
	rule family="ipv4" source address="10.0.0.88" port port="10080" protocol="tcp" accept
	rule family="ipv4" source address="10.0.0.88" port port="80" protocol="tcp" reject
	rule family="ipv4" source address="10.0.0.88" port port="8080" protocol="tcp" reject

//设置成功！
  • 测试：
  • 在测试机访问通过三个端口访问phpMyAdmin，只有10080端口访问成功



3.2 数据库防火墙配置

javascript 复制代码 
//开启防火墙并设置开机自启
[root@ley-mari ~]# systemctl start firewalld.service 
[root@ley-mari ~]# systemctl restart firewalld.service 
[root@ley-mari ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.99" port protocol="tcp" port="30306" accept'		允许web服务器通过30306端口访问数据库
success
[root@ley-mari ~]# firewall-cmd --reload
success
[root@ley-mari ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens160
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 
  protocols: 
  forward: yes
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
	rule family="ipv4" source address="10.0.0.99" port port="30306" protocol="tcp" accept
  • 测试
    通过10080端口，登录phpMyadmin界面，访问数据库

3.3 sshd防火墙配置

此时的所有的远程连接应该已经断开，因为防火墙开启限制了sshd服务的端口10022

javascript 复制代码 
[root@ley-web ~]# firewall-cmd --add-port=10022/tcp --permanent			//允许10022端口访问
success
[root@ley-web ~]# firewall-cmd --reload
success
[root@ley-web ~]# firewall-cmd --list-all

设置完成后，远程连接就能成功了，数据库和测试机也同理！

三台主机之间在同一个网段，可以通过ssh服务互相登录，如同下图所示，主机之间可以互相登录，这不安全，我们要在三台主机之间设置拒绝登录

javascript 复制代码 
[root@ley-web ~]# firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.110" port protocol="tcp" port="10022" reject'
success
[root@ley-web ~]# firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.88" port protocol="tcp" port="10022" reject'
success
[root@ley-web ~]# firewall-cmd --reload
success
[root@ley-web ~]# firewall-cmd --list-all
javascript 复制代码 
[root@ley-mari ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.99" port protocol="tcp" port="10022" reject'
success
[root@ley-mari ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.88" port protocol="tcp" port="10022" reject'
success
[root@ley-mari ~]# firewall-cmd --reload
success
[root@ley-mari ~]# firewall-cmd --list-all
javascript 复制代码 
[root@ley-test ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.99" port protocol="tcp" port="10022" reject'
[root@ley-test ~]# firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.110" port protocol="tcp" port="10022" reject'
[root@ley-test ~]# firewall-cmd --reload
success
[root@ley-test ~]# firewall-cmd --list-all
  • 测试 ：
    拒绝访问

防火墙安全策略配置完成！！！

相关推荐
心灵彼岸-诗和远方3 分钟前
DevOps业务价值流：架构设计最佳实践
运维·产品经理·devops
一只哒布刘8 分钟前
NFS服务器
运维·服务器
苹果醋31 小时前
Java8-＞Java19的初步探索
java·运维·spring boot·mysql·nginx
二十雨辰1 小时前
[linux]docker基础
linux·运维·docker
北京搜维尔科技有限公司1 小时前
搜维尔科技：【应用】Xsens在荷兰车辆管理局人体工程学评估中的应用
人工智能·安全
云起无垠2 小时前
技术分享 | 大语言模型赋能软件测试：开启智能软件安全新时代
人工智能·安全·语言模型
Jason-河山2 小时前
【自动化更新，让商品信息跳舞】——利用API返回值的幽默编程之旅
运维·自动化
饮浊酒2 小时前
Linux操作系统 ------（3.文本编译器Vim）
linux·vim
lihuhelihu2 小时前
第3章 CentOS系统管理
linux·运维·服务器·计算机网络·ubuntu·centos·云计算
哲讯智能科技2 小时前
SAP Business One市场价格解析
运维·sap·erp
热门推荐
01【HarmonyOS】HUAWEI DevEco Studio 下载地址汇总02(欧拉)openEuler系统添加网卡文件配置流程、(欧拉)openEuler系统手动配置ipv6地址流程、(欧拉)openEuler系统网络管理说明03组基轨迹建模 GBTM的介绍与实现（Stata 或 R）04【AIGC】重塑未来的科技巨轮05全面解析：构建基于深度学习的安全帽检测系统（UI界面+YOLO代码+数据集）06【经验分享】Ubuntu22.04安装微信(linux官方版)07基于YOLOv10深度学习的CT扫描图像肾结石智能检测系统【python源码+Pyqt5界面+数据集+训练代码】深度学习实战、目标检测08Ubuntu 20.04使用Livox mid 360 测试 FAST_LIO09RAG 实践- Ollama+RagFlow 部署本地知识库10【TC3xx芯片】TC3xx芯片电源管理系统PMS详解