拍拍尘土

第一步，安装一键lnmp环境
在http://lnmp.org 下载完整安装包，一键安装包，30分钟左右安装完成第二步：进行基本的安全配置
1、修改root密码，还可以建立新用户登陆ssh，限制root直接ssh

2、修改mysql和ssh默认端口，开通ftp的也需要修改默认端口
编辑/etc/ssh/sshd_config文件，重启一下 /etc/init.d/sshd restart

3、清理多余的用户和组4、停掉不需要的服务，如第三步：进行基本的iptables防火墙配置，命令保存后会自动生成 /etc/sysconfig/iptables 文件
iptables配置说明：
#允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT

# 允许已建立的或相关连的通行
iptables -A INPUT -m state –-state ESTABLISHED,RELATED -j ACCEPT

#允许所有本机向外的访问
iptables -A OUTPUT -j ACCEPT

# 允许访问22端口
iptables -A INPUT -p tcp –-dport 22 -j ACCEPT

#允许访问80端口
iptables -A INPUT -p tcp –-dport 80 -j ACCEPT

#允许FTP服务的21和20端口
iptables -A INPUT -p tcp -–dport 21 -j ACCEPT
iptables -A INPUT -p tcp –-dport 20 -j ACCEPT
#如果有其他端口的话，规则也类似，稍微修改上述语句就行

#禁止其他未允许的规则访问
iptables -A INPUT -j REJECT （注意：如果22端口未加入允许规则，SSH链接会直接断开。）
iptables -A FORWARD -j REJECT

iptables屏蔽IP：
查看已添加的iptables规则：
iptables -L -n

删除已添加的iptables规则
将所有iptables以序号标记显示，执行：
iptables -L -n –line-numbers
比如要删除INPUT里序号为5的规则，执行：
iptables -D INPUT 5

添加iptables防火墙为开机启动：
chkconfig –-level 345 iptables on

保存防火墙规则：
service iptables save

重启Iptables：
service iptables restart


第四步，进行proftp用户的权限的配置
使用/root/vhost.sh 建立虚拟空间，然后/proftpd_vhost.sh建立ftp账号
这时候就建立了linux用户，如 ftpuser1 ，这个时候就指定好该用户对网站根目录的读写权限。
最不安全的办法就是网站目录为 777 权限，但是容易被入侵，可以使用 acl 指定用户对目录的权限。
acl以及用户权限命令（setfacl, getfacl）可以参考 http://blog.xg98.com/article.asp?id=2084 文章末尾
如下命令将指定用户权限
其中-m是修改，-d设置为默认，-R设置为遍历子目录所有文件
注意相关参数放操作对象的前面，不要写成 setfacl -d -R -m u:ftpuser1.... 如果命令无法执行可能是磁盘的acl没有挂载，参考 http://blog.xg98.com/article.asp?id=2083
更多POSIX ACL的细节说明可以参考 http://blog.xg98.com/article.asp?id=1548

第五步，更细致的安全设置
1、为每项外部服务建立独立运行账号，设置目录权限