Debian 综合服务实训Apache2、Samba、LDAP、vsftpd 与 OpenVPN1. 服务介绍本文整理一套 Debian 综合服务实验不只包含 Apache2Apache2 负责 HTTP/HTTPS 网站和 LDAP 认证Samba 提供 SMB 文件共享OpenLDAP 保存统一账号vsftpd 提供受限 FTP 传输OpenVPN 提供远程访问。每个服务都有独立配置和验证步骤适合网络服务综合实训。目标包括• Apache2 发布www.chinaskills.cn启用 HTTPS、HTTP 重定向、LDAP 认证和安全响应头。• Samba 提供认证共享和匿名公共共享结合 SGID/sticky bit 控制删除权限。• OpenLDAP 创建chinaskills.cn目录和ldsgp用户组为 Apache/Samba 提供认证。• vsftpd 提供虚拟用户 FTP限制根目录和上传类型。• OpenVPN 为 OutsideCli 分配172.16.0.100-172.16.0.120地址只允许访问授权内网。2. 准备运行环境• Debian 服务器Apache2、Samba、OpenLDAP、vsftpd、OpenVPN 可按角色部署在独立主机也可在实验中合并。• 角色示例WebSrv、StorageSrv、RouterSrv、OutsideCli、InsideCli。• 权限root 或 sudo 管理账号数据库、LDAP bind 密码和 VPN 私钥使用安全存储。• DNS准备www.chinaskills.cn、download.chinaskills.cn等解析客户端 DNS 必须指向可解析这些名称的服务器。• 证书准备受信任 CA 根证书和 Web 服务器证书证书 SAN 必须包含访问域名。• 网络HTTP TCP 80、HTTPS TCP 443、SMB TCP 445、LDAP TCP 389/636、FTP TCP 21、OpenVPN UDP 1194 按拓扑放行。• 文件目录网站/webdataSamba/data/share1与/data/publicFTP 根目录按实际配置创建。• 示例地址文章只使用文档网段和占位域名不要复制原实验中的公网地址、密码或共享密钥。3. 相关知识与注意点• Apache 虚拟主机、TLS 证书、LDAP 认证、目录权限和防火墙必须同时正确单独看到 443 监听不能证明站点可用。•ServerTokens Prod和ServerSignature Off可以减少版本泄露但不能替代补丁、WAF 和最小权限。• Samba 的上传权限由目录权限、smb.conf、有效用户和客户端认证共同决定匿名共享不要与敏感目录复用。• SGID 目录让新文件继承组sticky bit 限制删除者为文件所有者、目录所有者或 root。不要用chmod -R 777代替权限设计。• LDAP 密码、管理员 DN 和证书私钥不能写入文章或命令历史生产环境启用 LDAPS 或 StartTLS限制匿名查询。• FTP 明文传输风险高。实验使用 vsftpd 时应启用 FTPS、限制用户根目录和被动端口生产优先使用 SFTP/HTTPS。• OpenVPN 地址池必须避开现有网段VPN 已连接不等于内网可达还要检查路由、转发、NAT 和防火墙。• 每项修改先做语法检查再 reload/restart验证同时看服务状态、监听端口、日志和客户端结果。4. 实验步骤4.1 Apache2 网站、HTTPS 与 LDAP 认证安装基础组件apt update apt install -y apache2 openssl libapache2-mod-ldap-userdir \ libapache2-mod-ldap-userdir ldap-utils systemctl enable --now apache2创建网站目录和首页install -d -o root -g www-data -m 0755 /webdata printf %s\n This is the front page of CSKs website /webdata/index.html chown root:www-data /webdata/index.html chmod 0644 /webdata/index.html创建虚拟主机/etc/apache2/sites-available/www.chinaskills.cn.confVirtualHost *:80 ServerName www.chinaskills.cn DocumentRoot /webdata Redirect permanent / https://www.chinaskills.cn/ Directory /webdata Options -Indexes AllowOverride None Require all granted /Directory /VirtualHost VirtualHost *:443 ServerName www.chinaskills.cn DocumentRoot /webdata SSLEngine on SSLCertificateFile /etc/ssl/certs/www.chinaskills.cn.crt SSLCertificateKeyFile /etc/ssl/private/www.chinaskills.cn.key Directory /webdata Options -Indexes AllowOverride None Require all granted /Directory ServerTokens Prod ServerSignature Off /VirtualHost启用模块、站点并检查a2enmod ssl rewrite ldap authnz_ldap headers a2ensite www.chinaskills.cn.conf apachectl configtest systemctl reload apache2原实验 Apache 配置截图目录列表、下载文件和安全响应头按题目要求配置。大文件下载、上传和日志目录要单独评估磁盘空间不能把 Web 根目录设置为可写。4.2 设置 SUID、SGID 与 sticky bit查看特殊权限ls -ld /data /data/public find /usr/bin -perm -4000 -type f -ls共享目录示例install -d -o root -g sambashare -m 2770 /data/share1 install -d -o user01 -g sambashare -m 3770 /data/public2770表示目录 SGID3770表示 SGID 加 sticky bit。实际用户和组按 LDAP/Samba 账号调整。4.3 Samba 认证共享和公共共享安装 Sambaapt install -y samba smbclient cp -a /etc/samba/smb.conf /etc/samba/smb.conf.bak.$(date %F-%H%M%S)配置/etc/samba/smb.conf[global] workgroup WORKGROUP security user map to guest Bad User server min protocol SMB2 [share1] path /data/share1 read only no browseable yes valid users sambashare force group sambashare create mask 0660 directory mask 2770 [public] path /data/public guest ok yes map to guest Bad User read only no browseable yes force group sambashare create mask 0660 directory mask 3770为认证用户设置 Samba 密码smbpasswd -a user01 smbpasswd -e user01 testparm -s systemctl restart smbd nmbd原实验共享目录和配置截图验证smbclient -L //127.0.0.1 -U user01 smbclient //127.0.0.1/share1 -U user01 smbclient //127.0.0.1/public -N公共目录要求所有用户上传但只有文件所有者、目录所有者或 root 删除文件。客户端使用put/get测试上传下载再用不同用户验证删除权限。4.4 OpenLDAP 目录服务安装 OpenLDAPapt install -y slapd ldap-utils migrationtools初始化目录时统一使用示例基准 DN例如dcchinaskills,dccn。管理员 DN、密码不要写入公开文档。检查服务systemctl enable --now slapd ldapwhoami -x -H ldap://127.0.0.1 -D cnadmin,dcchinaskills,dccn -W ldapsearch -x -H ldap://127.0.0.1 -b dcchinaskills,dccn -s base原实验 LDAP 配置和目录导入截图LDAP 账户接入系统、Apache 或 Samba 前先确认查询结果再调整 NSS/PAM、authnz_ldap或 Samba 后端。不要为了测试删除本地 root 或保留唯一远程管理员。4.5 vsftpd 虚拟用户安装并启用 FTPapt install -y vsftpd db-util cp -a /etc/vsftpd.conf /etc/vsftpd.conf.bak.$(date %F-%H%M%S) systemctl enable --now vsftpdFTP 根目录使用独立系统账号虚拟用户只映射到该账号。启用 FTPS、Chroot 和被动端口后再测试不在配置中写明文密码anonymous_enableNO local_enableYES write_enableYES chroot_local_userYES allow_writeable_chrootNO pasv_min_port30000 pasv_max_port30100 ssl_enableYES force_local_logins_sslYES force_local_data_sslYES原实验 FTP 配置截图4.6 OpenVPN 远程访问题目要求 VPN 客户端只能访问 InsideCli 网段和 StorageSrv 的 Samba 服务地址池为172.16.0.100-172.16.0.120。安装 OpenVPN 和证书工具apt install -y openvpn easy-rsa systemctl enable openvpn-serverserver服务端配置核心项port 1194 proto udp dev tun server 172.16.0.0 255.255.255.0 ifconfig-pool-persist /var/log/openvpn/ipp.txt push route 172.16.0.0 255.255.255.0 keepalive 10 120 persist-key persist-tun user nobody group nogroup status /var/log/openvpn/status.log log-append /var/log/openvpn/server.log verb 3证书和私钥文件只允许 root 读取。VPN 客户端配置中的remote、CA、客户端证书、私钥和端口必须与服务端一致。源文档截图启动并验证systemctl restart openvpn-serverserver systemctl --no-pager status openvpn-serverserver ip addr show tun0 ip route journalctl -u openvpn-serverserver -n 50 --no-pager防火墙只放行 VPN 入口和授权转发路径不要把 VPN 客户端默认路由无条件推向服务器。5. 验证结果5.1 Apache/HTTPSapachectl configtest systemctl is-active apache2 ss -lntp | grep -E :80|:443 curl -I http://www.chinaskills.cn/ curl -k -I https://www.chinaskills.cn/ tail -n 50 /var/log/apache2/error.log预期Apache activeHTTP 重定向到 HTTPS证书域名和信任链正确日志无持续错误。5.2 Samba/LDAPtestparm -s smbclient -L //127.0.0.1 -U user01 ldapsearch -x -H ldap://127.0.0.1 -b dcchinaskills,dccn (objectClass*) dn getent passwd user01预期Samba 共享可发现认证用户能按权限上传下载LDAP 能查询目录NSS/PAM 配置正确时能解析目录用户。5.3 vsftpd/OpenVPNsystemctl is-active vsftpd ss -lntp | grep :21 ss -lunp | grep :1194 ip addr show tun0 ip route journalctl -u vsftpd -n 50 --no-pager journalctl -u openvpn-serverserver -n 50 --no-pager客户端验证FTP 用户被限制在目标根目录VPN 客户端获得172.16.0.100-172.16.0.120地址只能访问题目授权网段和 Samba 服务。6. 常见问题排查• **Apache 403/404**检查虚拟主机匹配、DocumentRoot、目录权限、Require all granted和错误日志。• **HTTPS 警告**检查 CA 信任、SAN、有效期、私钥和中间证书不要用关闭验证替代修复。• **LDAP 认证失败**先用ldapsearch验证目录和 bind再检查 Apache DN/filter、Samba 后端和 TLS 信任。• **Samba 上传成功但不能删除**检查 SGID/sticky bit、目录属主属组和 Sambacreate mask/directory mask。• **Samba 匿名共享过宽**关闭 guest 或限制网络来源匿名可写目录不能存放配置、备份和密钥。• **FTP 登录越权**检查chroot_local_user、系统账号、文件权限和 PAM生产优先使用 SFTP/HTTPS。• **OpenVPN 连接成功但内网不通**检查ip_forward、路由、NAT、FORWARD 规则和授权网段VPN 地址池不能与现有网段重叠。• **OpenVPN 服务启动失败**执行openvpn --config /etc/openvpn/server.conf --test-crypto或查看 journal确认证书、私钥和配置语法。• **版本信息泄露**检查ServerTokens Prod、ServerSignature Off和响应头不要只隐藏页面文本。