Site Guard Lite on Nginx on CentOS7 in さくらのVPS

そういえば、Nginxにした際にSiteGuard Liteをインストールし直すのを忘れていたのに気づいて再インストールしました。

SiteGuardをインストールする際はソースからコンパイルする必要があったりと、ちょっと手こずったのでメモ。

Apacheでインストールした際は「ネコでもわかる！さくらのVPS講座～番外編「WebサイトのセキュリティはSiteGuardで安心」」を参考にしました。Nginxの場合も基本はこれに沿っていきます。

ネコでもわかる！さくらのVPS講座～番外編「WebサイトのセキュリティはSiteGuard…

https://knowledge.sakura.ad.jp/12348/

初心者がVPSをWebサーバーとして構築し、WordPressのサイトを運用できるようになるまでの「ネコでもわかる！」連載の番外編です。SiteGuard LiteをVPSにインストールする手順をご紹介します。 SiteGuard Liteとは、WAFと言われるファイアウォールの一種です。firewalldのようなOS標準のファイアウォールツールでは防げない、より高度な攻撃に対応できるようにするためにインストールします。

インストールされているSiteGuardを削除しておく

# rm -rf /opt/jp-secure/siteguardlite

SiteGuardをゲットしてインストール

# wget http://progeny.sakura.ad.jp/siteguard/3.3.0/nginx/siteguardlite-3.30-1.nginx.x86_64.tar.gz
# tar -zxvf siteguardlite-3.30-1.nginx.x86_64.tar.gz
# cd siteguardlite-3.30-1.nginx.x86_64/
# make install

------------------------------------------------------
  Install succeeded!

  Please run the following command
  1. in order to add SiteGuard Lite module into nginx
  # cd <nginx source dir>
  # ./configure \
    --add-module=/opt/jp-secure/siteguardlite/nginx \
    --with-http_ssl_module \
    ...<with other params>
  # make
  # make install

  2. in order to setup nginx
  # cd /opt/jp-secure/siteguardlite
  # ./setup.sh
------------------------------------------------------

インストールしたら、ご丁寧にそのあとどうするか記載してあるのでそれに従います。

YumでインストールしたNginxをアンインストール

アンインストールする前にconfigureの設定をチェックしておきます。これは私がNginxをよく理解していないためで、必要なモジュール等がわからないので、これまで動いていた環境そのままにしようという企みからです。

# nginx -V
nginx version: nginx/1.14.0
built by gcc 4.8.5 20150623 (Red Hat 4.8.5-16) (GCC)
built with OpenSSL 1.0.2k-fips  26 Jan 2017
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic -fPIC' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -pie'

# yum remove nginx

configure argumentsに記載されいてる設定をソースからインストールする際にもそのまま使います。

Nginxをソースからインストール

Nginxをソースからインストール
# wget http://nginx.org/download/nginx-1.14.0.tar.gz
# tar -zxvf nginx-1.14.0.tar.gz
# cd nginx-1.14.0/
# ./configure \
    --add-module=/opt/jp-secure/siteguardlite/nginx \
    --prefix=/etc/nginx \
    --sbin-path=/usr/sbin/nginx \
    --modules-path=/usr/lib64/nginx/modules \
    --conf-path=/etc/nginx/nginx.conf \
    --error-log-path=/var/log/nginx/error.log \
    --http-log-path=/var/log/nginx/access.log \
    --pid-path=/var/run/nginx.pid \
    --lock-path=/var/run/nginx.lock \
    --http-client-body-temp-path=/var/cache/nginx/client_temp \
    --http-proxy-temp-path=/var/cache/nginx/proxy_temp \
    --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \
    --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \
    --http-scgi-temp-path=/var/cache/nginx/scgi_temp \
    --user=nginx \
    --group=nginx \
    --with-compat \
    --with-file-aio \
    --with-threads \
    --with-http_addition_module \
    --with-http_auth_request_module \
    --with-http_dav_module \
    --with-http_flv_module \
    --with-http_gunzip_module \
    --with-http_gzip_static_module \
    --with-http_mp4_module \
    --with-http_random_index_module \
    --with-http_realip_module \
    --with-http_secure_link_module \
    --with-http_slice_module \
    --with-http_ssl_module \
    --with-http_stub_status_module \
    --with-http_sub_module \
    --with-http_v2_module \
    --with-mail \
    --with-mail_ssl_module \
    --with-stream \
    --with-stream_realip_module \
    --with-stream_ssl_module \
    --with-stream_ssl_preread_module \
    --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic -fPIC' \
    --with-ld-opt='-Wl,-z,relro -Wl,-z,now -pie'
# make

と、ここでエラー発生。

/bin/ld: cannot find -lapr-1
/bin/ld: cannot find -laprutil-1
collect2: error: ld returned 1 exit status
make[1]: *** [objs/nginx] Error 1
make[1]: Leaving directory `/root/nginx-1.14.0'
make: *** [build] Error 2

どうも、apr-1とaprutil-1というライブラリが見つからないようです。

apr-1とaprutil-1 はApacheのポータブルライブラリというものらしいですね。

WEB ARCH LABO

Apache httpd 2.4 をソースからインストールする手順 (CentOS/RedHat) |

https://weblabo.oscasierra.net/install-apache24-1/

CentOS/RedHat に Apache 2.4 をソースコードからインストールする方法について説明します。

# ldconfig -p | grep "apr"
libaprutil-1.so.0 (libc6,x86-64) => /lib64/libaprutil-1.so.0
libapr-1.so.0 (libc6,x86-64) => /lib64/libapr-1.so.0

ldconfig -pで調べてみても、どうも入って入るようです。下記を参考にシンボリックリンクを作り直したらうまくいきました。

祈れ、そして働け～ Ora et labora

共有ライブラリの追加 – 祈れ、そして働け～ Ora et labora

http://tetsuyai.hatenablog.com/entry/20111201/1324792477

概要共有ライブラリをシステムに認識させるには、そのディレクトリを共有ライブラリ検索パスに追加する必要があります。/libディレクトリと/usr/libディレクトリはデフォルトで含まれていますが、FedoraやCentOSでは/usr/local/libディレクトリが含まれていないため、手動で追加する必要があります。構成 CentOS release 5.7 (Final) 環境変数 LD_LIBRARY_PATHに指定する環境変数 LD_LIBRARY_PATHを使うと、そのディレクトリを一時的に共有ライブラリ検索パスに追加することができます。ただし再起動すると元に戻ってしまうため、永続…

# cd /lib64
# ln -s libapr-1.so.0.4.8 libapr-1.so
# ln -s libaprutil-1.so.0.5.2 libaprutil-1.so
# ldconfig
# ldconfig -p | grep "apr"
	libaprutil-1.so.0 (libc6,x86-64) => /lib64/libaprutil-1.so.0
	libaprutil-1.so (libc6,x86-64) => /lib64/libaprutil-1.so
	libapr-1.so.0 (libc6,x86-64) => /lib64/libapr-1.so.0
	libapr-1.so (libc6,x86-64) => /lib64/libapr-1.so

makeし直します。

# make 
# make install

成功しました。

（もしかしたら、yum install apr-devel apr-util-develすればよかったのか？）

nginx.confに以下を追加しておきます。あとで、ページが表示されないなぁと悩んでいたらこの一文が書かれていないのに気づきました。yumでインストールした際はデフォルトで記載されていたので。

# vi /etc/nginx/nginx.conf

  include /etc/nginx/conf.d/*.conf;

Nginx systemd service fileの追加

下記サイトを参考にNginxのsystemd service fileを作成します。

mylogs-prime.com

Nginx をsystemdに追加してサービス化する

~~http://mylogs.sakura.ne.jp/it_programing/linux/82~~

前回はNginxをソースコードからインストールしました。>> CentOS 7.2 arm版にNginxをソースからインストールするCentOS 7.2はサービスを起動する場合、initからsystemctlに変更されています。

www.nginx.com

NGINX systemd service file | NGINX

https://www.nginx.com/resources/wiki/start/topics/examples/systemd/

An example of a simple NGINX systemd service file.

# vi /lib/systemd/system/nginx.service

[Unit]
Description=The NGINX HTTP and reverse proxy server
After=syslog.target network.target remote-fs.target nss-lookup.target

[Service]
Type=forking
PIDFile=/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t
ExecStart=/usr/sbin/nginx
ExecReload=/usr/sbin/nginx -s reload
ExecStop=/bin/kill -s QUIT $MAINPID
PrivateTmp=true

[Install]
WantedBy=multi-user.target

一旦php-fpmをstopしてから、nginxとphp-fpmをスタートする。

# systemctl stop php-fpm
# systemctl start nginx
# systemctl enable nginx
# systemctl start php-fpm

SiteGuardセットアップ

# cd /opt/jp-secure/siteguardlite
# ./setup.sh

nginx.confの場所とSSLのファイルは自分で設定しました。あとはデフォルトです。

あとは、SiteGuardのサイトにアクセスして、パスワードの更新、アクティベート、ウェブ攻撃検査の有効化をして完了です。

と思ったのですが、WAFの影響でwordpressの投稿ができなくなっちゃいまいた。

SiteGuardのサイトにアクセスして、モジュール設定→トラステッド・シグネチャから、ログをみて引っかかってそうなシグネチャを無効にします。

WordPressなら、SiteGuard WP Pluginの方がいいのかな？

あーつかれた。