CentOSからRocky Linuxに乗り換えました。

さくらのVPSを使っているので、ところどころ www????.sakura.ne.jp として入力しています。

ユーザ作成

まずはrootのパスワードを変更します。

# passwd

作業用アカウントを作成します。

ユーザーhoge作成

# useradd hoge

hogeのパスワード設定

# passwd hoge
hogeをwheelグループに入れる

# usermod -G wheel hoge

作業用アカウント(wheelグループ)以外ではrootになれないように制限します。元から設定済みでしたが念のため。

# visudo

この行を有効化

%wheel ALL=(ALL) ALL

suできるユーザを指定。

# vi /etc/pam.d/su

この行を有効化

auth required pam_wheel.so use_uid

rootはパスワードでログインできないようにします。

# vi /etc/ssh/sshd_config

この行を有効化

PermitRootLogin prohibit-password

鍵なしログイン可にする(コメントアウトのままでOK？)

PasswordAuthentication yes

SSH再起動。

# systemctl restart sshd

Rocky LinuxでのSSHのアクセス制限はfirewalldでやる必要があります。未対応。

パッケージ管理

必要なリポジトリを追加します。

# dnf upgrade

# dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-9.noarch.rpm

# dnf install https://rpms.remirepo.net/enterprise/remi-release-9.rpm

Remiを指定してインストールする場合には以下のように記述します。

# dnf --enablerepo=remi install (パッケージ名)

全部のアプリをアップデートする。

# dnf --enablerepo=remi update

ファイアウォール

さくらのVPSはコントロールパネルからポート制限できるので設定不要？

起動

# systemctl enable firewalld

# systemctl start firewalld

設定追加

# firewall-cmd --add-service=http --zone=public --permanent

# firewall-cmd --add-service=https --zone=public --permanent

# firewall-cmd --add-service=smtp --zone=public --permanent

# firewall-cmd --add-port=110/tcp --zone=public --permanent

# firewall-cmd --add-port=587/tcp --zone=public --permanent

# firewall-cmd --reload

現在の設定は以下で確認できます。

# firewall-cmd --list-all --zone=public

繋がらない時は一旦firewalld止めて試してみる。終わったらfirewalld起動。

PHP

PHP8.2とそれに関係するものをインストール。

# dnf module enable php:remi-8.2

# dnf install php-fpm php-mysqlnd php-pear php-mbstring php-pdo php-gd php-json ImageMagick ImageMagick-devel php-devel

# pecl install imagick

各種設定。

# vi /etc/php.ini

post_max_size = 128M

upload_max_filesize = 128M

date.timezone = "Asia/Tokyo"

display_errors = On

error_reporting = E_ALL & ~E_NOTICE

extension = imagick.so

起動。

# chown nginx /var/log/php-fpm/

# systemctl start php-fpm

# systemctl enable php-fpm

Composerインストール

# curl -sS https://getcomposer.org/installer | php

# sudo mv composer.phar /usr/local/bin/composer

webサーバ

Apacheからnginxに変えました。

# dnf install nginx

ログの保持期間変更

# sudo vi /etc/logrotate.d/nginx

rotate 10 を 30とかに増やす

起動

# systemctl start nginx

# systemctl enable nginx

PHP-FPMの権限をapacheからnginxに変更

# vi /etc/php-fpm.d/www.conf

user = nginx

group = nginx

# systemctl restart php-fpm

ドメインごとに管理するユーザを分けます。普通にユーザを作成すると自分のホームディレクトリより上の階層に行けてしまうので、chrootを使って行けないようにします。

グループ作成。

# groupadd sftpgroup

グループに所属するユーザにchrootを適用します。

# vi /etc/ssh/sshd_config

サブシステム変更

#Subsystem       sftp    /usr/libexec/openssh/sftp-server

Subsystem       sftp    internal-sftp -u 0022

グループと行ける範囲を末尾に追加

Match group sftpgroup

  ChrootDirectory ~

  ForceCommand internal-sftp -u 0022

sshdを再起動します。設定間違うとサーバにアクセスできなくなるので、念の為ターミナルをもう1つ開いておいたり。

# systemctl restart sshd

あとはユーザを作成していけば /home/hoge/ がsshのルートディレクトリになります。

ユーザ作成

# useradd -g sftpgroup hoge

# passwd hoge

ホームディレクトリの所有者をrootにする

# chown root:root /home/hoge

# chmod 755 /home/hoge
ディレクトリ作成とパーミッション変更

# mkdir /home/hoge/public_html

# chmod 777 /home/hoge/public_html

バーチャルホスト

ドメインごとにconfファイルを作成します。以下はhoge.com用です。

# vi /etc/nginx/conf.d/hoge.com.conf

server {

    listen       80;

    server_name  hoge.com;

    root   /home/hoge/public_html;

    index  index.php index.html index.htm;

    access_log  /var/log/nginx/hoge.com.access.log;

    error_log  /var/log/nginx/hoge.com.error.log;
    client_max_body_size 128M;
    # BASIC認証(必要なら)

    auth_basic           "Restricted area";

    auth_basic_user_file /etc/nginx/.htpasswd;
    # WordPress用

    location ~ /.well-known {

        auth_basic off;

        allow all;

    }

    location / {

        try_files $uri $uri/ /index.php?$args;

    }
    location ~ \.php$ {

        try_files      $uri =404;

        fastcgi_pass   unix:/run/php-fpm/www.sock;

        fastcgi_index  index.php;

        fastcgi_param  SCRIPT_FILENAME $document_root$fastcgi_script_name;

        include        fastcgi_params;

    }

}

公開前にサイトを確認できるようにします。こんなURLで見れるようになります。
http://www????.sakura.ne.jp/hoge/

# vi /etc/nginx/conf.d/default.conf

server {

    listen       80;

    server_name  www????.sakura.ne.jp;

    root   /var/www/html;

    index  index.php index.html index.htm;

    access_log  /var/log/nginx/access.log;

    error_log  /var/log/nginx/error.log;
    client_max_body_size 128M;
    # BASIC認証(必要なら)

    auth_basic           "Restricted area";

    auth_basic_user_file /etc/nginx/.htpasswd;
    # WordPress用

    location ~ /.well-known {

        auth_basic off;

        allow all;

    }

    location / {

        try_files $uri $uri/ /index.php?$args;

    }
    # サブディレクトリで閲覧

    location /hoge {

        alias /home/hoge/public_html;

        index  index.php index.html index.htm;

        location ~ \.php$ {

            fastcgi_pass   unix:/run/php-fpm/www.sock;

            fastcgi_index  index.php;

            fastcgi_param SCRIPT_FILENAME $request_filename;

            include        fastcgi_params;

        }

        # WordPress用

        try_files $uri $uri/ /index.php?$args;

    }

}

再起動

# systemctl restart nginx

WordPress

公式サイトからダウンロードしたzipを解凍してアップロードし設定を記述。

# cp wp-config-sample.php wp-config.php

# vi wp-config.php

データベース情報

define( 'DB_NAME', 'database_name_here' );

define( 'DB_USER', 'username_here' );

define( 'DB_PASSWORD', 'password_here' );

ファイル内に書かれたurlで秘密鍵を生成して設定

define( 'AUTH_KEY',         'put your unique phrase here' );

define( 'SECURE_AUTH_KEY',  'put your unique phrase here' );

define( 'LOGGED_IN_KEY',    'put your unique phrase here' );

define( 'NONCE_KEY',        'put your unique phrase here' );

define( 'AUTH_SALT',        'put your unique phrase here' );

define( 'SECURE_AUTH_SALT', 'put your unique phrase here' );

define( 'LOGGED_IN_SALT',   'put your unique phrase here' );

define( 'NONCE_SALT',       'put your unique phrase here' );

SSH接続するためSSH SFTP Updater Supportプラグインをダウンロード、解凍してから以下にアップロード。

/wp-content/plugins

設定ファイルに追記。

# vi wp-config.php

define('FS_METHOD', 'ssh2');

所有者の変更。WordPressのあるディレクトリで実行。

# chown -R nginx:sftpgroup ./

うまく行かない場合は開き直ってパーミッション変更。危険なので後で戻す。

# find ./ -type d -exec chmod 775 {} +

# find ./ -type f -exec chmod 664 {} +

おまけ：urlを変更する場合はMySQLで以下実行。

UPDATE wp_options SET option_value='http://hoge.com' WHERE option_name IN ('home','siteurl');

SSL

OpenSSLは既に入っているので、mod_sslをインストールします。

# dnf --enablerepo=remi install mod_ssl

証明書は無料のLet’s Encryptを使います。

インストール

# dnf install certbot

ドメイン追加

# certbot certonly --webroot -w /home/hoge/public_html -d hoge.com

メールアドレス入力

規約に同意：y

メールでお知らせ：n

バッチで証明書を自動更新します。

# crontab -e

PATH=/sbin:/bin:/usr/sbin:/usr/bin

0 4 1,15 * * certbot renew && systemctl restart nginx

もしくは

PATH=/sbin:/bin:/usr/sbin:/usr/bin

0 4 1,15 * * certbot renew && systemctl restart nginx && postmap -F /etc/postfix/tls_server_sni_maps && systemctl reload postfix dovecot

SSLサーバの設定はドメインの設定ファイルに追加します。

# vi /etc/httpd/conf.d/hoge.conf

server {

    listen       443 ssl;

    server_name  hoge.com;

    root   /home/hoge/public_html;

    index  index.php index.html index.htm;

    access_log  /var/log/nginx/hoge.com.access.log;

    error_log  /var/log/nginx/hoge.com.error.log;
    client_max_body_size 128M;
    # BASIC認証(必要なら)

    auth_basic           "Restricted area";

    auth_basic_user_file /etc/nginx/.htpasswd;
    # WordPress用

    location ~ /.well-known {

        auth_basic off;

        allow all;

    }

    location / {

        try_files $uri $uri/ /index.php?$args;

    }
    location ~ \.php$ {

        try_files      $uri =404;

        fastcgi_pass   unix:/run/php-fpm/www.sock;

        fastcgi_index  index.php;

        fastcgi_param  SCRIPT_FILENAME $document_root$fastcgi_script_name;

        include        fastcgi_params;

    }
    ssl_certificate /etc/letsencrypt/live/hoge.com/fullchain.pem;

    ssl_certificate_key /etc/letsencrypt/live/hoge.com/privkey.pem;

}
ちなみにlisten 80の方に以下のreturn行を入れるとhttpsにリダイレクトする

server {

    listen       80;

    server_name  hoge.com;

    return 301 https://$host$request_uri;

}

設定できたら再起動。

# systemctl restart nginx

MySQL

# dnf install mysql mysql-server

起動

# systemctl enable mysqld

# systemctl start mysqld

初期設定

# mysql_secure_installation

出てくる質問は以下の通り(英語)。

・VALIDATE PASSWORD利用：y

・パスワード検証ポリシー：0

・rootのパスワード：

・rootのパスワード確認用：

・いいですか？：y

・匿名ユーザの削除：y

・リモートからrootユーザ接続禁止：y

・テスト用データベースの削除：y

・変更を有効にする：y

デフォルト文字コードはutf8mb4だったので、そのままにしておきます。

終わったら再起動。

# systemctl restart mysqld

パスワードの制限をゆるくする。

# mysql -uroot -p

mysql> SET GLOBAL validate_password.policy=LOW;

mysql> set global validate_password.length=8;

データベースhogeとそのDBに紐づいたユーザhogeを作成します。

mysql> CREATE DATABASE `hoge`;

mysql> CREATE USER `hoge`@`localhost` IDENTIFIED BY 'パスワード';

mysql> GRANT ALL PRIVILEGES ON `hoge`.* TO `hoge`@`localhost`;

mysql> FLUSH PRIVILEGES;

phpMyAdmin

せっかくなのでMySQLの管理ページを入れる。

# dnf install --enablerepo=remi phpmyadmin

こんなURLで見れるようになります。
http://www????.sakura.ne.jp/phpMyAdmin/

# vi /etc/nginx/conf.d/default.conf

server {}の中に以下を追加

    location /phpMyAdmin {

        root /usr/share;

        index index.php;
        # BASIC認証(必要なら)

        auth_basic           "Restricted area";

        auth_basic_user_file /etc/nginx/.htpasswd;
        location ~ \.php$ {

            fastcgi_pass   unix:/run/php-fpm/www.sock;

            fastcgi_index  index.php;

            fastcgi_param  SCRIPT_FILENAME  $document_root/$fastcgi_script_name;

            include        fastcgi_params;

        }

    }

あとはnginx再起動。

メールサーバ(送信)

Postfixの設定。

# dnf install postfix cyrus-sasl cyrus-sasl-md5 cyrus-sasl-plain

# vi /etc/postfix/main.cf

以下のように修正

myhostname = www????.sakura.ne.jp

mydomain = www????.sakura.ne.jp

myorigin = $mydomain

inet_interfaces = all

#inet_interfaces = localhost

inet_protocols = ipv4

home_mailbox = Maildir/

smtpd_banner = $myhostname ESMTP unknown

以下を追加(スパム対策)

disable_vrfy_command = yes

smtpd_helo_required = yes

anvil_rate_time_unit=60s

smtpd_client_message_rate_limit=200

smtpd_soft_error_limit = 5

smtpd_hard_error_limit = 8

smtpd_error_sleep_time = 70

smtpd_delay_reject = yes
以下を追加(スパムをメールアドレス単位で拒否する場合。reject_senderに記述。正規表現を使う場合はhashをregexpにする)

smtpd_sender_restrictions = reject_unknown_sender_domain,reject_non_fqdn_sender hash:/etc/postfix/reject_sender
以下を追加(バーチャルドメイン用)

virtual_alias_maps = hash:/etc/postfix/virtual
以下を追加(SMTP-Auth用)

smtpd_sasl_auth_enable = yes

smtpd_sasl_type = cyrus

smtpd_sasl_path = smtpd

smtpd_sasl_local_domain = $myhostname

smtpd_recipient_restrictions = permit_mynetworks,permit_sasl_authenticated,reject_unauth_destination

smtpd_relay_restrictions = permit_mynetworks,permit_sasl_authenticated,reject_unauth_destination
以下を追加(メールへの添付可能サイズを無制限にする)

message_size_limit = 0

mailbox_size_limit = 0
以下を追加(SSL化する場合)

tls_server_sni_maps=hash:/etc/postfix/tls_server_sni_maps

smtp_tls_security_level = may

スパムを登録して反映。ドメインかメールアドレスで指定できる。

# vi /etc/postfix/reject_sender

example.com REJECT

spam@example.com REJECT

正規表現(regexp)の場合は以下のようになる。

/@example\.com$/ REJECT

/spam@example\.com$/ REJECT

/.*@example\.com$/ REJECT

# postmap /etc/postfix/reject_sender

メール送信時にサブミッションポート(587)を使用します。

# vi /etc/postfix/master.cf

以下の行のコメントアウトを外す

submission inet n       -       n       -       -       smtpd

-o smtpd_sasl_auth_enable=yes

-o smtpd_relay_restrictions=permit_sasl_authenticated,reject

-o milter_macro_daemon_name=ORIGINATING

SSL化する場合以下の行のコメントアウトも外す

-o smtpd_tls_security_level=may

smtps inet n - n - - smtpd

-o smtpd_tls_wrappermode=yes

-o smtpd_sasl_auth_enable=yes

-o smtpd_relay_restrictions=permit_sasl_authenticated,reject

-o milter_macro_daemon_name=ORIGINATING

SSL化する場合証明書を記述、再起動。

# vi /etc/postfix/tls_server_sni_maps

hoge.com /etc/letsencrypt/live/hoge.com/privkey.pem /etc/letsencrypt/live/hoge.com/fullchain.pem

# postmap -F /etc/postfix/tls_server_sni_maps

# systemctl restart postfix

起動。

# systemctl start postfix

# systemctl enable postfix

SMTP認証のためにSaslauthdを使用します。アプリと認証処理を分離してくれるものらしい。

# vi /etc/sysconfig/saslauthd

Linuxユーザのパスワード(/etc/shadow)を使う

MECH=shadow

起動します。

# systemctl enable saslauthd

# systemctl start saslauthd

メールサーバ(受信)

Dovecotの設定。

# dnf install dovecot

# vi /etc/dovecot/conf.d/10-mail.conf

以下の行のコメントアウトを外す

mail_location = maildir:~/Maildir

# vi /etc/dovecot/dovecot.conf

protocols = imap pop3 lmtp

listen = *

# vi /etc/dovecot/conf.d/10-auth.conf

パスワードを平文にする

disable_plaintext_auth = no

# vi /etc/dovecot/conf.d/10-ssl.conf

SSL有り無し両方対応

ssl = yes

SSL化する場合以下追加

local_name hoge.com {

    ssl_cert = </etc/letsencrypt/live/hoge.com/fullchain.pem

    ssl_key = </etc/letsencrypt/live/hoge.com/privkey.pem

}

Dovecotを起動します。

# systemctl enable dovecot

# systemctl start dovecot

useradd時にメールボックス用のディレクトリを自動で作成されるようにします。

# mkdir -p /etc/skel/Maildir/{new,cur,tmp}

# chmod -R 700 /etc/skel/Maildir/

こんな感じで作られる。

/home/hoge-info/Maildir/new/

/home/hoge-info/Maildir/cur/

/home/hoge-info/Maildir/tmp/

メールアドレス作成

メールアカウント用のユーザをシェルログイン不可で作成します。

# useradd -s /sbin/nologin hoge-info

# passwd hoge-info

メールアドレスとその振り分け処理を作成します。ドメインごとにanythingの行を入れないとメールが使用できません。

# vi /etc/postfix/virtual

hoge.com         anything

info@hoge.com    hoge-info

web@hoge.com     hoge-web

振り分けを反映させます。

# postmap /etc/postfix/virtual

まとめ

WordPressの設定は毎回忘れる…