Como proteger o servidor ClusterControl

Grupo de firewall e segurança

$ iptables -A INPUT -p tcp --dport 9999 -j ACCEPT
$ iptables -A INPUT -p tcp --dport 80 -j ACCEPT
$ iptables -A INPUT -p tcp --dport 443 -j ACCEPT
$ iptables -A INPUT -p tcp --dport 9501 -j ACCEPT
$ iptables -A OUTPUT -p tcp --dport 22 -j ACCEPT

Criptografia

Executando em HTTPS

$  openssl x509 -in /etc/ssl/certs/s9server.crt -text -noout
...
        Validity
            Not Before: Apr  9 21:22:42 2014 GMT
            Not After : Mar 16 21:22:42 2114 GMT
...

Criptografia cliente-servidor MySQL

• cmondb_ssl_key - caminho para a chave SSL, para criptografia SSL entre o CMON e o CMON DB.
• cmondb_ssl_cert - caminho para o certificado SSL, para criptografia SSL entre CMON e o CMON DB
• cmondb_ssl_ca - caminho para SSL CA, para criptografia SSL entre CMON e o CMON DB

mysql> GRANT ALL PRIVILEGES ON *.* TO 'cmonui'@'127.0.0.1' IDENTIFIED BY '<cmon password>';
mysql> FLUSH PRIVILEGES;

# <wwwroot>/clustercontrol/bootstrap.php
define('DB_LOGIN', 'cmonui');
define('DB_PASS', '<cmon password>');

# <wwwroot>/cmonapi/config/database.php
define('DB_USER', 'cmonui');
define('DB_PASS', '<cmon password>');

Criptografia CLI

Controle de acesso baseado em função

Executando em portas personalizadas

• SSH - o padrão é 22
• HTTP - o padrão é 80
• HTTPS - o padrão é 443
• MySQL - o padrão é 3306

Permissão e propriedade

$ chown root:root /etc/cmon.cnf /etc/cmon.d/*.cnf
$ chmod 700 /etc/cmon.cnf /etc/cmon.d/*.cnf

$ chown -Rf mysql:mysql /var/lib/mysql

$ chown ubuntu:ubuntu /home/ubuntu/.ssh/id_rsa
$ chmod 700 /home/ubuntu/.ssh/id_rsa

Use uma senha forte

• Senha do MySQL cmon - O valor padrão é 'cmon'.
• Senha raiz do MySQL - O valor padrão é 'senha'.

=> Set a password for ClusterControl's MySQL user (cmon) [cmon]
=> Supported special password characters: [email protected]#$%^&*()_+{}<>?

Mudando a senha 'cmon' do MySQL

1. 
   Altere a senha dentro do servidor MySQL do ClusterControl:
   

   $ ALTER USER 'cmon'@'127.0.0.1' IDENTIFIED BY 'newPass';
   $ ALTER USER 'cmon'@'{ClusterControl IP address or hostname}' IDENTIFIED BY 'newPass';
   $ FLUSH PRIVILEGES;

2. 
   Atualize todas as ocorrências das opções 'mysql_password' para o serviço do controlador dentro de /etc/cmon.cnf e /etc/cmon.d/*.cnf:
   

   mysql_password=newPass

3. 
   Atualize todas as ocorrências de constantes 'DB_PASS' para ClusterControl UI dentro de /var/www/html/clustercontrol/bootstrap.php e /var/www/html/cmonapi/config/database.php:
   

   # <wwwroot>/clustercontrol/bootstrap.php
   define('DB_PASS', 'newPass');

   # <wwwroot>/cmonapi/config/database.php
   define('DB_PASS', 'newPass');

4. 
   Altere a senha em cada servidor MySQL monitorado pelo ClusterControl:
   

   $ ALTER USER 'cmon'@'{ClusterControl IP address or hostname}' IDENTIFIED BY 'newPass';
   $ FLUSH PRIVILEGES;

5. 
   Reinicie o serviço CMON para aplicar as mudanças:
   

   $ service cmon restart # systemctl restart cmon

2018-01-11 08:33:09 : (INFO) Additional RPC URL for events: 'http://127.0.0.1:9510'
2018-01-11 08:33:09 : (INFO) Configuration loaded.
2018-01-11 08:33:09 : (INFO) cmon 1.5.1.2299
2018-01-11 08:33:09 : (INFO) Server started at tcp://127.0.0.1:9500
2018-01-11 08:33:09 : (INFO) Server started at tls://127.0.0.1:9501
2018-01-11 08:33:09 : (INFO) Found 'cmon' schema version 105010.
2018-01-11 08:33:09 : (INFO) Running cmon schema hot-fixes.
2018-01-11 08:33:09 : (INFO) Schema auto-upgrade succeed (version 105010).
2018-01-11 08:33:09 : (INFO) Checked tables - seems ok
2018-01-11 08:33:09 : (INFO) Community version
2018-01-11 08:33:09 : (INFO) CmonCommandHandler: started, polling for commands.

Executando off-line

Resumo