Caixa Seca

É praticamente um mantra a ideia de que devemos colocar PermitRootLogin no em /etc/ssh/sshd_config em máquinas cujo servidor SSH fique exposto à internet. Até tem alguma utilidade se for usada autenticação por senha. "Alguma" pois não devemos jamais usar autenticação por senha! Mesmo que seja uma senha de 50 caracteres. Mais providências são requeridas para proteger minimamente o servidor. Use autenticação por chave pública. Uma chave ssh-rsa de 2048 bits é impossível ser quebrada pelo menos até meados da próxima década. Até lá você troca a chave ou migra para uma de 4096 bits. Há debate considerável da necessidade ou não de chaves deste comprimento atualmente; estando em dúvida, caso o cliente suporte e o consumo maior de processamento não seja fator determinante, vá direto para 4096 bits. Resta, claro, uma falha de segurança no daemon sshd (ou no kernel ou glibc quem sabe), que permita um invasor comprometer o sistema. Mantenha tudo atualizado. A seguir, uso como base o...

Para a galeria Piwigo funcionar, é preciso ajustar o rótulo da pasta. Pressupondo que as permissões estejam corretas no seu servidor, falta: # semanage fcontext -a -t httpd_sys_rw_content_t '/var/www/html/imagens(/.*)?' # restorecon -FRv /var/www/html/imagens (substitua "imagens" pelo nome da pasta onde está a sua instalação do Piwigo) O boleano httpd_can_network_connect precisa ser habilitado para o mecanismo de atualização embutido do Piwigo funcionar. Todas as man pages *_selinux são de grande ajuda. Elas estão no pacote selinux-policy-devel . AVC denials em sistemas web, quando não existe uma documentação do desenvolvedor sobre SELinux, são resolvidos na base da tentativa e erro, vendo o que cada um lhe diz em suas mensagens de erro bem como o arquivo /var/log/audit/audit.log . Resista a todas as tentações de desativar o SELinux. Sempre! Relacionado: Colocar o Samba a funcionar com o SELinux

Se você pesquisar por "smb.conf" no Google achará uma infinidade de tutoriais mostrando arquivos gigantes de configuração, sempre com uma tonelada de opções inúteis e obsoletas (quando não prejudiciais), que são passados adiante por blogs, fóruns, sites, sem a mínima análise do seu conteúdo. Minha motivação aqui é ir contra a maré do copiar/colar e explicar uma configuração enxuta, baseada em versões recentes do Samba (4.3.0 ou superior), para o comum cenário de tê-lo servindo algumas pastas na rede da sua casa ou escritório em um grupo de trabalho, sem atuar como controlador de domínio (PDC). O primeiro conselho é não ir atrás dos smb.conf gigantes. Faça justamente o contrário: a partir de uma configuração mínima, vá adaptando até chegar no que for ideal. As opções padrão que o Samba usa para o que não estiver especificado no arquivo são na maioria dos casos suficientes e otimizadas. E use a ferramenta testparm , que é muito útil para enxugar baboseira do arquivo. Com...

Antes de mais nada: SELinux é uma camada de proteção do sistema operacional. Procurem resistir à tentação de desabilita-lo! Quando a pasta encontra-se dentro de qualquer pasta dentro do /home é tranquilo, habilite o boleano samba_enable_home_dirs . # setsebool -P samba_enable_home_dirs 1 Porém quando é fora do /home , o SELinux bloqueará o acesso. Por exemplo, vamos usar este /etc/samba/smb.conf : [global] workgroup = GRUPO server string = logging = systemd map to guest = Bad User load printers = No [Arquivos] path = /arquivos read only = No guest ok = Yes (ver Guia de configuração do Samba não-PDC para uma configuração mais completa) E criar a pasta /arquivos com tudo liberado: # mkdir -m 0777 /arquivos Aparenta estar certo. Acessos não autenticados usarão a conta nobody , que poderá escrever em /arquivos . Além disso, o firewall foi corretamente configurado para liberar o Samba. Contudo, continua não funcionando. Falta configura...