Ýlk önce ana whm menusunden tweak setting bölümüne giriyoruz
yapacaðýmýz deðiþiklikler serverýn optimal derecede ve güvenli olarak çalýþabilmesi için yapýcaðýmýz deðiþikliklerdir
tweak settings bölümüne girdik
ben size neyin ne iþe yaradýpðýný sýryala açýklayacaðým anlaþýlýr olanlarýda direk geçicem.
üstteki menuden baþlýyalým
Number (or all) of accounts to display per page in list accounts (30 is used if nothing is specified).:
list account sayfasýnda kaç tane account un gösterilmesini istediðinizi sormaktadýr default 30 dur istediðiniz deðeri yazabilirsiniz
Domains kýsmýna geldik:
Allow Creation of Parked/Addon Domains that are not registered
kayýt edilmemiþ domainlrin park edilmesini yada addon domain olarak eklenip eklenemeyeceðini sormaktadýr kutuyu boþ býrakýn
Allow Creation of Parked/Addon Domains that resolve to other servers (ie domain transfers) [This can be a major security problem. If you must have it enabled, be sure to not allow users to park common internet domains.] burdada belirttiði gibi bunuda kesinlikle boþ býrakýn güvenlik sorunlarýna neden olabilir
Allow users to Park/Addon Domains on top of domains owned by other users. (probably a bad idea): bunuda boþ býrakýyoruz
Prevent users from parking/adding on common internet domains. (ie hotmail.com, aol.com)
: Bu kutuyu kesinlikle iþaretliyoruz kullanýcýlarýn yahoo hotmail gibi eposta servislerini yada büyük siteleri addon domain olarak kayýt etmeleri serverýnýzý felaket yavaþlatabilir
Mail Kýsmýna geldik:
Add the mail. prefix for mailman urls (ie http://mail.domain.com/mailman) Bunu iþaretliyoruz
Attempt to prevent pop3 connection floods Bunuda iþaretliyoruz mail tabamnlý yapýlabilecke floodlarý engellemektedir
Default catch-all/default address behavior for new accounts.Bunu fail olarak seçin serverýnýza gönderilen fakat belirli bir adres verilmeyen bütün mailler gitmedi olarak karþý tarafa cevap býrakýr bu email floodlarý için iyi bir önlem
Email users when they have reached 80% of their bandwidth: iþaretliyoruz
Horde Webmail Ýþaretliyoruz kullanýcýlarýn maillerine bakabilmeleri için bir mail programý
Include a list of Pop before SMTP senders in the X-PopBeforeSMTP header when relaying mail. (exim 4.34-30+ required)Boþ kalabilir
Mailman
Neomail Webmail
bunlarýda iþaretliyoruz
Number of minutes between mail server queue runs (default is 60).: default deðeri 60 dýr 60 olarak býrakalým
Prevent the user “nobody” from sending out mail to remote addresses (php and cgi scripts generally run as nobody if you are not using phpsuexec and suexec respectively.)eðer phpsuexec i whm den açarsanýz yani php scriptlerini cgi gibi çalýþmasýný saðlarsanýz php ile gönderilen mailler nobody@server.com gibi gitmez bir id si olur böylece kimin spam yolladýðý vs. belli olur bu seçeneði iþaretlemek için ana menuden php sueexec i açmalýsýnýz phpsuexec i açtýysanýz 755 üzeri chmod vermeyin dosyalara
Silently Discard all FormMail-clone requests with a bcc: header in the subject line bcc header a sahip formmail scriptlerini mail yollamasýný engeller bu spam için çok önemli bir önlem
Spamassassin
SquirrelMail Webmail: Bunlarýda iþaretliyoruz
The maximum each domain can send out per hour (0 is unlimited):: Bir domainini bir saatte gönderebileceði maksimum mail bence bunu 100 de sabitlemek iyidir tabi çok aktif forumlar vs. varsa üye kaydý filan devamlý olavaðý için arttýrýlmalý ayrýca phpbb de tüm üyelere email diye bir seçenek var eðer bunu 100 olarak sýnýrlarsanýz haliyle sadece 100 üyeye o mail gider
The number of times users are allowed to check their mail using pop3 per hour:10 yeterli derim bir kiþinin 1 saat içinde mailini kaç kere kontrol edebileceði
Track the origin of messages sent though the mail server by adding the X-Source headers (exim 4.34+ required) Bunu kesin iþaretliyoruz header da mailin nerden gönderildiðini görülmesi için bu yazýyý hazýrlarken cpanel whm 10 release 162 de exim 4.50 vardý o yüzden 4.34 istiyormuþ sorun olmayacaktýr
NotificationsKýsmýna gldik
Disk Space Usage Warnings
Email Box Usage Warnings bu 2 seçeneði iþaretliyoruz
Disable Suspending accounts that exceed their bandwidth limit (will clear all suspensions is disabled)Bunu boþ býrakýn
Software kýsmýna geldik
FormMail-clone cgiBunu müþterileriniz için iþaretlemelisiniz yok formmaille iþim olmaz diyosanýz kapayýn çünkü direk flood a açýk bir olay
Interchange Version to use (if you disable interchange, you must turn off the service in the service manager) Açmayýn derim gereksiz bir servis her gereksiz servis cpu+ram yiyeceði gibi potansiyel olarak yeni bir güvenlik açýðýna neden olur
MySQL Version to use (you must run Software/Update Server Software (or /scripts/sysup) for this to take affect. You should then run buildapache/easyapache after changing this option. MySQL 4 is not avalible on glibc-2.1 or below platforms)
4 ü seçiyoruz mysql 4 de bir sürü yenilik var ve daha hýzlý + union desteklenmektedir
Stats Programs
Analog Stats
Awstats Reverse Dns Resolution
Awstats Stats
Webalizer Stats
Hepsini iþaretliyebilirsiniz ama bence analog stast ve awstats yeterli her yeni istatislik programý belirli aralýklarla güncelleniðinden serverýnýza ek yük getiricektir
Stats and Logs
Allow users to update Awstats from cPanel Bunu iþaretlemiyoruz serverý kasabilir
Delete each domain”s access logs after stats run Ýþaretliyoruz kesinlikle yoksa disk alanýnýz dolabilir
ve apache genelde 2 gb ýn üstüdne loglarda çakýlýyor
Do not reset /usr/local/apache/domlogs/ftpxferlog after it has been seperated into each domain name”s ftp logBoþ býrakýn
Exim Stats Daemon (required for smtp bandwidth logging; must also be modified in the service manager as well)Ýþaretliyoruz
Keep Stats Log (/usr/local/cpanel/logs/stats_log) between cpanel restarts (default is off)
Keep log files at the end of the month (default is off as you can run out of disk space quickly)
Bu kýsýmlar boþ býrakýn
Number of days between processing log files and bandwidth usage (default 1, decimal values are ok): default deðeri 1 ben 0.5 yapýyorum bunu 12 satte güncellemek serverý daha az yorar serverýnýza http flood gibi bir saldýrý olduðunda harddiskin atýyorum %20 si doluyken bir anda %30 olduðunu görebilirsiniz merak etmeyin o bolluk log dosyalarýna ait bir sonraki gün eski boyutuna gelicektir
Stats Log Level (default is 1, larger numbers indicate more debug information in /usr/local/cpanel/logs/stats_log) [0...10]: 1 býrakýn
The load average above the number of cpus at which logs file processing should be suspended (default 0):Llog dosyalarýnýn loglanmasý saldýrý anýnda serverý öldürürü o yüzden bu deðeri 4 olarak belirleyin
When viewing bandwidth usage in WHM, always display in Megabytes first. iþaretleyin
Status a geldik
The load average that will cause the server status to appear red (leave blank for default): Service status taki cpu nun ne zaman kýrmýzý görüneceði genelde 1 üzeri deðerler bir server için normal deðildir ben p.4 tek cpu lu bir alet için bu deðeri 4 yaparým
System
Geldik en öneli kýsýma
Allow Sharing Nameserver Ips
Allow cPanel users to install SSL Hosts if they have a dedicated ip.
iþaretliyoruz
Allow cPanel users to reset their password via email
Allow perl updates from rpm based linux vendors
Always redirect users to the ssl/tls ports when visiting /cpanel, /webmail, etc.
Disable Disk Quota display caching (whm will cache disk usage which may result in the display of disk quotas being up to 15 minutes behind the actual disk usage. Disabling this may result in a large performace degradation.)
Disable Http Authentication for cPanel/WebMail/WHM Logins (forces cookie authentication)
Display Errors in cPanel instead of logging them to /usr/local/cpanel/logs/error_log
Do not warn about features that will be depreciated in later releases (Warning: If you check this box, you will not be able to learn about features that will be disappearing in future releases. This could lead to a non-functional server when the feature is finally removed.)
bu kýsýmlar kesinlikle boþ
Use jailshell as the default shell for all new accounts and modified accounts
When visiting /cpanel or /whm or /webmail with ssl redirect to the servers hostname.bu 2 kýsýmý kesinlikle iþaretliyoruz özellikle jailshell çok önemli direk complielrlarý filan kuullanamazlar biþey derliyemezler
daha fazla bilgiyi
http://www.jmcresearch.com/projects/jail/
burada bulabilrisiniz
whm cpanel in olayý ise 2082 2086 yerine sizi 2083 ve 2087 olan daha güvenli portlara yönlendirmesi burada yapacaýðýnýz< iþlemler biraz daha yavaþtýr ama daha güvenlidir emin olun eðer geçerli bir ssl sertifikasý yüklemedi iseniz cpanel giriþinde sertifika onaysýz geçerli deðil gibi bir ifade verir.
evet whm den Server Setup Bölümünden tweak security bölümüne giriyoruz
Php open_basedir Tweak
Php”s open_basedir protection prevents users from opening files outside of their home directory with php
ile baþlýyoruz açýklamasýndada dediði gibi biliyorsunuz php kullanýlarak shell e ihtiyacýnýz olmadan ayný shell deymiþ gibi bütün komutlarý filan istetebilirsiniz tabi php safe modda deðil ise php open_basedir protection ýn altýndaki configure tuþuna basýyoruz ve yeni aaçýlan menuden
Enable php open_basedir Protection.
bu þýkký iþaretliyoruz herhangi bir siteyi bu korumanýn dýþýna almak için sitenin adýnýn yanýndaki kutuya iþaret koyuyoruz
2. seçeneðimiz
mod_userdir Tweak
Apache”s mod_userdir allows users to view their sites by entering a tilde(~) and their username as the uri on a specific host. For example http://test.cpanel.net/~fred will bring up the user fred”s domain. The disadvantage of this feature is that any bandwidth usage used by this site will be put on the domain it is accessed under (in this case test.cpanel.net). mod_userdir protection prevents this from happening. You may however want to disable it on specific virtual hosts (generally shared ssl hosts.) yazan kýsým çoðu host sahibi bunun ne olduðunu bilmez ama çok önemli bir olay ben bunla yalan olmasýn hosttan 600 gb bw yemiþtim bunun olayý þu eðer bu korumayý açmadý iseniz ve ana serverýnýzýn ipsi 10.0.0.2 diyelim adamýn adamýnda www.denem.com diye bir sitesi var ve kullanýcýadýda deneme
http://10.0.0.2/~deneme yazarak kendi sitesine girer bu korumayý açarsanýz ve kendi bw sinden yiyor gözükmez
evet bu seçeneðin altýndaki
Enable mod_userdir Protection.e basýyoruz ve korumayý aktif ediyoruz hehrangi bir sitenin bu korumadan yararlanmamasýný istiyorsanýz sitenin adresinin yanýndaki kutuya iþaret koyuyorsunuz
3. olayýmýz
This tweak will disable the system”s c and c++ compilers for unprivileged. Many canned exploits require a working c on the system. You can also choose to allow some users to use the compilers while they remain disabled by default. bu gerçekten çok önemli derleyicileri izini olmayan kullanýcýlar için kapatýyorsunuz yani sizin sisteminize ezzploit indirip bu sistemde derliyemezler tabi yani çok aman aman bir koruma deðil iþini bilen her þekilde yapar ben kendi makinamda derler buraya yükler burda çalýþtýrýrým gene ama genelde bu iþlerle uðraþanlar script kiddie dediklerimiz olduklarý için derinlemesine bu konulardan anlamazlar
gene configuder ye basarak disable compliers ý seçiyoruz
4. olayýmýz
Traceroute Tweak
This tweak will disable the system”s traceroute utility. traceroute seçeneðini cpaneldeki menulerden kaldýrýr bence sistem stabili,tesi için kaldýrýlmalý buraya kasan birisi gerçekten sistemi yavaþlatabilir
5. olayýmýz
This SMTP tweak will prevent users from bypassing the mail server to send mail (This is a common practice used by spammers). It will only allow the MTA (mail transport agent), mailman, and root to connect to remote SMTP servers. çoðu serverda sisteme login olabilmeden bile temel komutlarla o sistemden mail gönderilebilmektedir bu olay ise bu dediðimiz þeyi önlemektedir
configureye basýyoruz
Allow connections to localhost on port 25. seçeneðini seçiyoruz.
Server Setup ile devam ediyoruz
menulerden
Kod:
Update Config
e geliyoruz
bu cpanelin güncelleþtirilme sýklýðý cpanel dediðimiz olay süper bir kontrol paneli bütün herþeyi kendi güncelleme yetisine sahip kernel ve apache ve php dýþýnda mysql u proftpd yi pureftpd yi addon scriptleri phpbbphpnuke shopping cartlar perl versiyonunu phpmyadmini aklýnýza ne geliyorsa herþeyi otomatik olarak kendi gücnelliyebiliyor
seçenekleri resimdeki gibi yapýyoruz eðer stable ý seçerseniz en kararlý cpanel sürümü yüklenir release de stabil e göre daha az test edilmiþ genede hiç bir sorun çýkartmayan ve en yeni sürüm programlar rpm ler yüklenir mesela exim 4.50 in stable a gelmesi 2 ay geç oldu release den edge ise sadece serverda yazýlým ile ilgil i bir sorun yaþýyorsanýz daha üst bir sürüme yükseltmenizi öneririm seçenekleri resimdeki gibi iþaretleyin
cPanel/WHM Updates i Automatic (RELEASE tree) olarak
cPanel Package Updatesi Automatic olarak
Security Package Updates i Automatic olarak
gelelim server setp da yeni bir menuye
Shell Fork Bomb Protection shell de çalýþan lokal kullanýcýlar için bir önlem çok fazla sistem kaynaðý kullanýp sistemin çakulmasýný önlüyor belli bir sýnýra geldiðinde o sýnýrý geçmeye çalýþtýðýnda uygulamayý durduruyor
Service Configuration menusune geldik orda en altta
Enable/Disable SuExec var oraya giriyoruz
cgi scriptlerinin noboy yerine bir id ile çalýþmasýný saðlamaktadýr böylece kim ne yapýyor anlaþýlabilir daha sonra phpsuexec i açýcaz oda php nin cgi gibi çalýþmasýna bir id sahibi olmasýný saðlamaktadýr böylece kimin ne yaptýðý belli olmaktadýr
Mysql menusune geliyoruz
MySQL Root Password u seçiyoýruz yeni açýlan menuden bir mysql root þifresi belirliyoruz bu þifrenin harf+rakam karýþýmý bir þifre olmasýna ve zor olmasýna dikkat edin crackerlar genelde default kullanýcýlar için þifreleri denemektedir ve böylece sistemde lokal yekiye sahip olabilmektedirler
Softwarekýsmýna geldik burda
þu 3 kýsýmý haftada bir updateleyin týklayýn o kendi updateler
Update Server Software
Update System Software
Update Backend Scripts
bu menuden en çok iþinize yarýuyacak seçeneðe geldik
Update Apache bunun yardýmýyla diyelim apache 1.3.35 çýktý bunu kolayca güncelelyebilirsiniz yada php 4.3.12 çýktý yada müþterileriniz diyoe benim resim galerim var ama gd çalýþmýyor yükleyin diyor napýcaksýnýz bu script yardýmý ile apache ye kolayca yeniden dderliyeceksiniz bu olay olmasa buu iþlemleri yapabilmeniz iyi bir bilgi düzeyine sahip olmanýzý gerektirir týkladýðnýz ve menu açýldý
burdakiler tamamen sizin ihtiyaçlarýnýza göre ama ben bir serverda bulunmasý gereken þeyleri sizin için seçeyim burda listediklerimi sizde seçin ben bu yazýyý yazarken en son php versiiyonu 4.3.11 di bundan sonra çýkacak versiyonlar için en güncelini seçin
Seçilicek modüller
Expires Module
Raise FD_SETSIZE to 16384 (System Wide)
Prevent Users from reading other webroots
Frontpage Module
Gzip Module (experimental) (Version 1.3.26.1a)
Raise HARD_SERVER_LIMIT
Php Module (Version 4.3.3)
Version 4.3.11
Bc Math
Calendar Support
FTP
GD (Version 2.0.15)
Magic Quotes
Mysql Module
Openssl Support
Discard Path
Pear
Sockets
Track Vars
Versioning
Zlib
PHP suEXEC Support
Report Build Errors to cPanel
Rewrite Module
Skip Apache Build if up to date
SSL Module (Version 2.8.22)
suEXEC Module
Verbose Build (show configure and gcc output)
bunlarý seçtikten sonra start build e basýp serverýnýzýn hýzýna göre yarým saat ile 3 saat arasýnda bekliyebilirsiniz baðlantý hýzýda önemli tabi 100 mbit bir makinada biþey etkilemez
Security menusune geldik
Quick Security Scan uzun zaman bunun ne olduðunu çözemedikten sonra anladým bu olay açýk olan ve kullanýlmayan servisleri kapatýyor bildiðiniz gibi her ek açýk servis bir güvenlik açýðý failed yazýsý aldýklarýnýz o servisin açýk olduðunu gösterir
Stopping portmapper: [FAILED]
Shutting down ntpd: [FAILED]
Stopping atd: [FAILED]
Stopping cups: [FAILED]
Shutting down console mouse services: [FAILED]
Shutting down SMB services: [FAILED]
Shutting down NMB services: [FAILED]
Shutting down xfs: [FAILED]
Shutting down NIS services: [FAILED]
Stopping NFS statd: [FAILED]
Modify Apache Memory Usage seçeneðini seçiyoruz o kendi sistemimizdeki ram e göre apache nin maksimum kullanabileceði child process için maksimum ram i seçiyor 1024 için 149 mb ram yaptý
Scan for Trojan Horses çok gereksiz bir menu çoðunlukla fals positiv dediðimiz uyarýlarý veriyor yani gerçek uyarýlar deðil biz trojenler için rkhunter ve chkrootkit kuracaðýz kontrolu için bunlar hem sistemdkei trojenleri kontrol ederken hemde rootkit varmý yokmu diye kontrol ediyor
bu bölümde güvenlik adýna yapucaðýmýz biþeyler kalmadý sanýrým aklýma gelirse daha eklerim artýk bundan sonraki yazýlar direk server üzerinden yapýcaklarýmýz olucak.
Saygýlar..