Template Servidor Debian - Histórico de revisão

Gondim em 13h11min de 14 de setembro de 2025

2025-09-14T13:11:38Z

← Edição anterior		Edição das 13h11min de 14 de setembro de 2025
Linha 19:		Linha 19:

	* Configuração dos repositórios do Debian.		* Configuração dos repositórios do Debian.
	* Configuração de ambiente como: '''hostname''', '''prompt''', '''lang''', '''sysctl~~''', '''irqbalance~~'''.		* Configuração de ambiente como: '''hostname''', '''prompt''', '''lang''', '''sysctl'''.
	* Instalação de algumas ferramentas úteis: '''neofetch''', '''net-tools''', '''nftables''', '''htop''', '''iotop''', '''sipcalc''', '''tcpdump''', '''vim-nox''', '''curl''', '''gnupg''', '''rsync''', '''wget''', '''host''', '''dnsutils''', '''mtr-tiny''', '''bmon''', '''sudo''', '''expect''', '''tmux''', '''whois''', '''ethtool''', '''dnstop'''.		* Instalação de algumas ferramentas úteis: '''neofetch''', '''net-tools''', '''nftables''', '''htop''', '''iotop''', '''sipcalc''', '''tcpdump''', '''vim-nox''', '''curl''', '''gnupg''', '''rsync''', '''wget''', '''host''', '''dnsutils''', '''mtr-tiny''', '''bmon''', '''sudo''', '''expect''', '''tmux''', '''whois''', '''ethtool''', '''dnstop'''.
	* Configurar o '''timezone''' do sistema. Eu tenho sempre por preferência e quando posso, escolher o '''UTC'''.		* Configurar o '''timezone''' do sistema. Eu tenho sempre por preferência e quando posso, escolher o '''UTC'''.

Gondim em 23h43min de 27 de dezembro de 2023

2023-12-27T23:43:02Z

← Edição anterior		Edição das 23h43min de 27 de dezembro de 2023
Linha 123:		Linha 123:

	== O script ==		== O script ==
	Finalmente chegamos no nosso script e é este que se encontra aqui no Github: https://github.com/gondimcodes/servidor_template		Finalmente chegamos no nosso script e é este que se encontra aqui no Github: '''https://github.com/gondimcodes/servidor_template'''
	== Finalizando ==		== Finalizando ==
	O script é livre e pode ser modificado e redistribuído mas sempre mantenha os créditos de quem desenvolveu, é um jeito de você valorizar o trabalho do autor.		O script é livre e pode ser modificado e redistribuído mas sempre mantenha os créditos de quem desenvolveu, é um jeito de você valorizar o trabalho do autor.

Gondim em 23h38min de 27 de dezembro de 2023

2023-12-27T23:38:40Z

← Edição anterior		Edição das 23h38min de 27 de dezembro de 2023
Linha 51:		Linha 51:
	MSMTP_USER="ispupnotify@gmail.com"		MSMTP_USER="ispupnotify@gmail.com"
	MSMTP_PASS="pnxxxxxxxxxxlupw"		MSMTP_PASS="pnxxxxxxxxxxlupw"
	* '''APPARMOR''': por padrão o script coloca o APPARMOR em '''modo complain''' para que não cause problemas com algum serviço que você irá configurar posteriormente. Se você for utilizar o APPARMOR mude a variável para '''Y'''~~(sim)~~ mas saiba que você poderá, em algumas situações, ter que estudar e configurar corretamente este sistema. Muitos artigos na Internet inclusive solicitam que desabilite este serviço para não causar problemas com seus programas. Ele é excelente para a segurança desde que esteja devidamente configurado mas se estiver apenas instalado poderá te causar algumas dores. Vou citar apenas um exemplo: na configuração do '''unbound''' se você não configurar o APPARMOR corretamente, nem o arquivo de log do unbound em '''/var/log/unbound''', ele permitirá ser usado.		* '''APPARMOR''': por padrão o script coloca o APPARMOR como desabilitado '''"0"''' mas se quiser manter habilitado e depois colocar em '''modo complain,''' basta colocar como '''"1"'''. Isso é apenas para que não cause problemas com algum serviço que você irá configurar posteriormente. Se você for utilizar o APPARMOR mude a variável para '''"1"''' e deixe como enforced mas saiba que você poderá, em algumas situações, ter que estudar e configurar corretamente este sistema. Muitos artigos na Internet inclusive solicitam que desabilite este serviço para não causar problemas com seus programas. Ele é excelente para a segurança desde que esteja devidamente configurado mas se estiver apenas instalado poderá te causar algumas dores. Vou citar apenas um exemplo: na configuração do '''unbound''' se você não configurar o APPARMOR corretamente, nem o arquivo de log do unbound em '''/var/log/unbound''', ele permitirá ser usado.
			* '''MITIGATIONS''': essa variável controla a mitigação no kernel para vulnerabilidades encontradas nos processadores. Vulnerabilidades como '''Spectre''' e '''Meltdown'''. Mitigar essas vulnerabilidades reduz o poder de processamento e às vezes podem não ser necessárias em um ambiente mais controlado. Nesse caso manter desabilitado pode trazer benefícios de processamento em detrimento à segurança. Para habilitar a mitigação no modo default, mude o valor para '''"auto"'''.
	* '''LANG''', '''LANGUAGE''' e '''DISTRO_NAME''': são variáveis de ambiente do sistema para setar a linguagem e capturar o nome da distribuição Debian que está usando. Se for alterar só altere a '''LANG''' e '''LANGUAGE'''.		* '''LANG''', '''LANGUAGE''' e '''DISTRO_NAME''': são variáveis de ambiente do sistema para setar a linguagem e capturar o nome da distribuição Debian que está usando. Se for alterar só altere a '''LANG''' e '''LANGUAGE'''.
	* '''TIMEZONE''': como eu havia comentado, costumo usar o padrão em '''UTC'''. Imagine que você tem servidores espalhados pelo mundo, fica mais fácil configurar todos para UTC e ter um controle melhor do que cada um com um '''timezone''' diferente. Sem falar que a grande maioria das notificações de segurança chegam com logs em horário UTC e isso facilita sua vida. Se quiser mudar utilize o comando: '''timedatectl list-timezones''' e veja qual usar na variável.		* '''TIMEZONE''': como eu havia comentado, costumo usar o padrão em '''UTC'''. Imagine que você tem servidores espalhados pelo mundo, fica mais fácil configurar todos para UTC e ter um controle melhor do que cada um com um '''timezone''' diferente. Sem falar que a grande maioria das notificações de segurança chegam com logs em horário UTC e isso facilita sua vida. Se quiser mudar utilize o comando: '''timedatectl list-timezones''' e veja qual usar na variável.
			* '''F2B_ENABLE''': default é '''"Y"''', se não desejar instalar e habilitar o '''Fail2Ban''', mude para '''"N"'''.
	* '''F2B_IGNOREIP''': essa variável é muito importante para que o '''fail2ban''' não '''bloqueie IPs confiáveis''' e evitar que algum ataque de spoofing cause um bloqueio indevido de acesso. IPs que costumo colocar nessa variável: '''127.0.0.1''', '''::1''', o '''IPv4 e IPv6 do servidor''', o '''IPv4 e IPv6 do gateway do servidor''', '''IP do DNS''' usado no servidor e '''IPs e/ou redes que uso como origem do acesso remoto'''. Os IPs e prefixos podem ser colocados usando espaço entre eles na variável.		* '''F2B_IGNOREIP''': essa variável é muito importante para que o '''fail2ban''' não '''bloqueie IPs confiáveis''' e evitar que algum ataque de spoofing cause um bloqueio indevido de acesso. IPs que costumo colocar nessa variável: '''127.0.0.1''', '''::1''', o '''IPv4 e IPv6 do servidor''', o '''IPv4 e IPv6 do gateway do servidor''', '''IP do DNS''' usado no servidor e '''IPs e/ou redes que uso como origem do acesso remoto'''. Os IPs e prefixos podem ser colocados usando espaço entre eles na variável.
	* '''F2B_BANTIME''': tempo de banimento do fail2ban, nesse caso por padrão no script está configurado para '''72h''' mas fique à vontade de alterar.		* '''F2B_BANTIME''': tempo de banimento do fail2ban, nesse caso por padrão no script está configurado para '''72h''' mas fique à vontade de alterar.

Gondim em 13h58min de 29 de junho de 2023

2023-06-29T13:58:05Z

Mostrar alterações

Gondim em 20h59min de 26 de janeiro de 2023

2023-01-26T20:59:20Z

← Edição anterior		Edição das 20h59min de 26 de janeiro de 2023
Linha 130:		Linha 130:
	# Autor: Marcelo Gondim - gondim at gmail.com		# Autor: Marcelo Gondim - gondim at gmail.com
	# Data: 21/01/2023		# Data: 21/01/2023
	# Versao: 1.4		# Versao: 1.4.1
	#		#
	# servidor_template.sh is free software; you can redistribute it and/or modify		# servidor_template.sh is free software; you can redistribute it and/or modify
Linha 236:		Linha 236:
	EOF		EOF

	echo nf_conntrack >> /etc/modules		echo nf_conntrack > /etc/modules
	modprobe nf_conntrack		modprobe nf_conntrack
	sysctl -p /etc/sysctl.d/local.conf		sysctl -p /etc/sysctl.d/local.conf

Gondim em 15h45min de 25 de janeiro de 2023

2023-01-25T15:45:07Z

← Edição anterior		Edição das 15h45min de 25 de janeiro de 2023
Linha 130:		Linha 130:
	# Autor: Marcelo Gondim - gondim at gmail.com		# Autor: Marcelo Gondim - gondim at gmail.com
	# Data: 21/01/2023		# Data: 21/01/2023
	# Versao: 1.3		# Versao: 1.4
	#		#
	# servidor_template.sh is free software; you can redistribute it and/or modify		# servidor_template.sh is free software; you can redistribute it and/or modify
Linha 219:		Linha 219:
	ff02::2 ip6-allrouters		ff02::2 ip6-allrouters
	EOF		EOF

	~~echo -e "Setando timezone para $TIMEZONE..."~~
	~~timedatectl set-timezone "$TIMEZONE"~~

	~~echo -e "Definindo o locales do sistema..."~~
	~~localectl set-locale LANG=$LANG LANGUAGE=$LANGUAGE~~

	echo -e "Atualizando o sistema e instalando alguns pacotes uteis..."		echo -e "Atualizando o sistema e instalando alguns pacotes uteis..."
Linha 464:		Linha 458:
	aa-complain /etc/apparmor.d/*		aa-complain /etc/apparmor.d/*
	fi		fi

			echo -e "Setando timezone para $TIMEZONE..."
			timedatectl set-timezone "$TIMEZONE"

			echo -e "Definindo o locales do sistema..."
			localectl set-locale LANG=$LANG LANGUAGE=$LANGUAGE

	echo -e "\nServidor configurado. Reinicie o sistema para validar!"		echo -e "\nServidor configurado. Reinicie o sistema para validar!"

Gondim em 15h28min de 25 de janeiro de 2023

2023-01-25T15:28:57Z

← Edição anterior		Edição das 15h28min de 25 de janeiro de 2023
Linha 130:		Linha 130:
	# Autor: Marcelo Gondim - gondim at gmail.com		# Autor: Marcelo Gondim - gondim at gmail.com
	# Data: 21/01/2023		# Data: 21/01/2023
	# Versao: 1.2		# Versao: 1.3
	#		#
	# servidor_template.sh is free software; you can redistribute it and/or modify		# servidor_template.sh is free software; you can redistribute it and/or modify
Linha 219:		Linha 219:
	ff02::2 ip6-allrouters		ff02::2 ip6-allrouters
	EOF		EOF

	~~echo -e "Atualizando o sistema e instalando alguns pacotes uteis..."~~
	apt-get update && apt-get -y full-upgrade && apt-get -y install neofetch net-tools nftables htop iotop sipcalc tcpdump vim-nox curl gnupg rsync wget host dnsutils mtr-tiny bmon sudo expect tmux whois ethtool dnstop apparmor-utils
	~~echo "syntax on" > /root/.vimrc~~

	echo -e "Setando timezone para $TIMEZONE..."		echo -e "Setando timezone para $TIMEZONE..."
Linha 229:		Linha 225:
	echo -e "Definindo o locales do sistema..."		echo -e "Definindo o locales do sistema..."
	localectl set-locale LANG=$LANG LANGUAGE=$LANGUAGE		localectl set-locale LANG=$LANG LANGUAGE=$LANGUAGE

			echo -e "Atualizando o sistema e instalando alguns pacotes uteis..."
			apt-get update && apt-get -y full-upgrade && apt-get -y install neofetch net-tools nftables htop iotop sipcalc tcpdump vim-nox curl gnupg rsync wget host dnsutils mtr-tiny bmon sudo expect tmux whois ethtool dnstop apparmor-utils
			echo "syntax on" > /root/.vimrc

	echo -e "Adicionando algumas configuracoes em /etc/sysctl.d/local.conf..."		echo -e "Adicionando algumas configuracoes em /etc/sysctl.d/local.conf..."

Gondim em 02h16min de 25 de janeiro de 2023

2023-01-25T02:16:29Z

← Edição anterior		Edição das 02h16min de 25 de janeiro de 2023
Linha 130:		Linha 130:
	# Autor: Marcelo Gondim - gondim at gmail.com		# Autor: Marcelo Gondim - gondim at gmail.com
	# Data: 21/01/2023		# Data: 21/01/2023
	# Versao: 1.1		# Versao: 1.2
	#		#
	# servidor_template.sh is free software; you can redistribute it and/or modify		# servidor_template.sh is free software; you can redistribute it and/or modify
Linha 228:		Linha 228:

	echo -e "Definindo o locales do sistema..."		echo -e "Definindo o locales do sistema..."
	~~update~~-locale LANG="$LANG" LANGUAGE="$LANGUAGE"		localectl set-locale LANG=$LANG LANGUAGE=$LANGUAGE

	echo -e "Adicionando algumas configuracoes em /etc/sysctl.d/local.conf..."		echo -e "Adicionando algumas configuracoes em /etc/sysctl.d/local.conf..."

Gondim em 21h20min de 23 de janeiro de 2023

2023-01-23T21:20:05Z

← Edição anterior		Edição das 21h20min de 23 de janeiro de 2023
Linha 28:		Linha 28:
	* Instala o '''fail2ban''' habilitando pelo menos o monitoramento do '''ssh'''. Em caso de detecção o IP do atacante é colocado em '''blackhole''' via '''ip route''' e o sistema envia um e-mail sobre o incidente para o contato de abuse responsáve__SEMTDC__l do IP banido.		* Instala o '''fail2ban''' habilitando pelo menos o monitoramento do '''ssh'''. Em caso de detecção o IP do atacante é colocado em '''blackhole''' via '''ip route''' e o sistema envia um e-mail sobre o incidente para o contato de abuse responsáve__SEMTDC__l do IP banido.
	* Instala e configura o '''apticron''' que envia notificações de atualizações do sistema por e-mail.		* Instala e configura o '''apticron''' que envia notificações de atualizações do sistema por e-mail.
	* Instala e configura o '''logwatch''' que envia diariamente um relatório de diversas coisas que aconteceram no sistema via e-mail.		* Instala e configura o '''logwatch''' que envia diariamente um relatório de diversas coisas que aconteceram no sistema, via e-mail.

	== O que o script não faz ==		== O que o script não faz ==

Gondim em 00h48min de 23 de janeiro de 2023

2023-01-23T00:48:18Z

← Edição anterior		Edição das 00h48min de 23 de janeiro de 2023
Linha 23:		Linha 23:
	* Configurar o '''timezone''' do sistema. Eu tenho sempre por preferência e quando posso, escolher o '''UTC'''.		* Configurar o '''timezone''' do sistema. Eu tenho sempre por preferência e quando posso, escolher o '''UTC'''.
	* Configurar o '''MSMTP''' para enviar as '''notificações de atualizações''' e '''logs do sistema''' via e-mail. Utilizo ele apenas quando o servidor sendo configurado não é um servidor de e-mail (MTA). Nesse caso ele tem essa função de enviar os e-mails. Por exemplo se você estiver montando um servidor Web, com o '''MSMTP''' o sistema pode enviar e-mails mais facilmente. Após a configuração, ele te envia um e-mail de teste para sabermos se está tudo OK com ele.		* Configurar o '''MSMTP''' para enviar as '''notificações de atualizações''' e '''logs do sistema''' via e-mail. Utilizo ele apenas quando o servidor sendo configurado não é um servidor de e-mail (MTA). Nesse caso ele tem essa função de enviar os e-mails. Por exemplo se você estiver montando um servidor Web, com o '''MSMTP''' o sistema pode enviar e-mails mais facilmente. Após a configuração, ele te envia um e-mail de teste para sabermos se está tudo OK com ele.
	* ~~Desabilita o~~ '''APPARMOR'''. Alguns programas podem necessitar de uma configuração mais aprofundada do '''APPARMOR''' para que funcionem 100%~~. Como é um item de segurança do sistema, no script você pode optar por não remove-lo~~.		* Coloca '''APPARMOR''' em '''modo complain'''. Alguns programas podem necessitar de uma configuração mais aprofundada do '''APPARMOR''' para que funcionem 100%.
	* Instala e configura o '''chrony''' para usar os servidores '''NTP/NTS''' do '''NIC.br'''. É importantíssimo que todo servidor tenha data e hora corretos.		* Instala e configura o '''chrony''' para usar os servidores '''NTP/NTS''' do '''NIC.br'''. É importantíssimo que todo servidor tenha data e hora corretos.
	* Instala o '''iWatch''' para monitorar em real time o sistema de arquivos e te enviar notificações quando houver alguma mudança nesses locais: '''/bin''', '''/sbin'''/ e '''/lib'''.		* Instala o '''iWatch''' para monitorar em real time o sistema de arquivos e te enviar notificações quando houver alguma mudança nesses locais: '''/bin''', '''/sbin'''/ e '''/lib'''.
Linha 51:		Linha 51:
	MSMTP_USER="ispupnotify@gmail.com"		MSMTP_USER="ispupnotify@gmail.com"
	MSMTP_PASS="pnxxxxxxxxxxlupw"		MSMTP_PASS="pnxxxxxxxxxxlupw"
	* '''APPARMOR''': por padrão o script ~~desabilita~~ o APPARMOR ~~do sistema~~ para que não cause problemas com algum serviço que você irá configurar posteriormente. Se você for utilizar o APPARMOR mude a variável para '''Y'''(sim) mas saiba que você poderá, em algumas situações, ter que estudar e configurar corretamente este sistema. Muitos artigos na Internet inclusive solicitam que desabilite este serviço para não causar problemas com seus programas. Ele é excelente para a segurança desde que esteja devidamente configurado mas se estiver apenas instalado poderá te causar algumas dores. Vou citar apenas um exemplo: na configuração do '''unbound''' se você não configurar o APPARMOR corretamente, nem o arquivo de log do unbound em '''/var/log/unbound''', ele permitirá ser usado.		* '''APPARMOR''': por padrão o script coloca o APPARMOR em '''modo complain''' para que não cause problemas com algum serviço que você irá configurar posteriormente. Se você for utilizar o APPARMOR mude a variável para '''Y'''(sim) mas saiba que você poderá, em algumas situações, ter que estudar e configurar corretamente este sistema. Muitos artigos na Internet inclusive solicitam que desabilite este serviço para não causar problemas com seus programas. Ele é excelente para a segurança desde que esteja devidamente configurado mas se estiver apenas instalado poderá te causar algumas dores. Vou citar apenas um exemplo: na configuração do '''unbound''' se você não configurar o APPARMOR corretamente, nem o arquivo de log do unbound em '''/var/log/unbound''', ele permitirá ser usado.
	* '''LANG''', '''LANGUAGE''' e '''DISTRO_NAME''': são variáveis de ambiente do sistema para setar a linguagem e capturar o nome da distribuição Debian que está usando. Se for alterar só altere a '''LANG''' e '''LANGUAGE'''.		* '''LANG''', '''LANGUAGE''' e '''DISTRO_NAME''': são variáveis de ambiente do sistema para setar a linguagem e capturar o nome da distribuição Debian que está usando. Se for alterar só altere a '''LANG''' e '''LANGUAGE'''.
	* '''TIMEZONE''': como eu havia comentado, costumo usar o padrão em '''UTC'''. Imagine que você tem servidores espalhados pelo mundo, fica mais fácil configurar todos para UTC e ter um controle melhor do que cada um com um '''timezone''' diferente. Sem falar que a grande maioria das notificações de segurança chegam com logs em horário UTC e isso facilita sua vida. Se quiser mudar utilize o comando: '''timedatectl list-timezones''' e veja qual usar na variável.		* '''TIMEZONE''': como eu havia comentado, costumo usar o padrão em '''UTC'''. Imagine que você tem servidores espalhados pelo mundo, fica mais fácil configurar todos para UTC e ter um controle melhor do que cada um com um '''timezone''' diferente. Sem falar que a grande maioria das notificações de segurança chegam com logs em horário UTC e isso facilita sua vida. Se quiser mudar utilize o comando: '''timedatectl list-timezones''' e veja qual usar na variável.
Linha 130:		Linha 130:
	# Autor: Marcelo Gondim - gondim at gmail.com		# Autor: Marcelo Gondim - gondim at gmail.com
	# Data: 21/01/2023		# Data: 21/01/2023
	# Versao: 1.0		# Versao: 1.1
	#		#
	# servidor_template.sh is free software; you can redistribute it and/or modify		# servidor_template.sh is free software; you can redistribute it and/or modify
Linha 163:		Linha 163:
	MSMTP_PASS=""		MSMTP_PASS=""

	# Por padrao ~~removo~~ o apparmor. Caso queira manter ~~basta~~ mudar para APPARMOR="Y"		# Por padrao colocaremos o apparmor em complain mode. Caso queira manter o default em enforced mudar para APPARMOR="Y"
	APPARMOR="N"		APPARMOR="N"
	LANG="pt_BR.UTF-8"		LANG="pt_BR.UTF-8"
Linha 221:		Linha 221:

	echo -e "Atualizando o sistema e instalando alguns pacotes uteis..."		echo -e "Atualizando o sistema e instalando alguns pacotes uteis..."
	apt-get update && apt-get -y full-upgrade && apt-get -y install neofetch net-tools nftables htop iotop sipcalc tcpdump vim-nox curl gnupg rsync wget host dnsutils mtr-tiny bmon sudo expect tmux whois ethtool dnstop		apt-get update && apt-get -y full-upgrade && apt-get -y install neofetch net-tools nftables htop iotop sipcalc tcpdump vim-nox curl gnupg rsync wget host dnsutils mtr-tiny bmon sudo expect tmux whois ethtool dnstop apparmor-utils
	echo "syntax on" > /root/.vimrc		echo "syntax on" > /root/.vimrc

Linha 305:		Linha 305:
	Detail = 5		Detail = 5
	EOF		EOF

	~~if [ "$APPARMOR" == "N" -o "$APPARMOR" == "n" ]; then~~
	~~echo -e "Removendo o APPARMOR. Necessario reboot..."~~
	~~mkdir -p /etc/default/grub.d~~
	~~echo 'GRUB_CMDLINE_LINUX_DEFAULT="$GRUB_CMDLINE_LINUX_DEFAULT apparmor=0"' > /etc/default/grub.d/apparmor.cfg~~
	~~update-grub~~
	fi

	echo -e "Instalando IRQBalance..."		echo -e "Instalando IRQBalance..."
Linha 466:		Linha 459:
	systemctl enable fail2ban.service		systemctl enable fail2ban.service
	systemctl restart fail2ban.service		systemctl restart fail2ban.service

			if [ "$APPARMOR" == "N" -o "$APPARMOR" == "n" ]; then
			echo -e "Colocando o APPARMOR em complain mode..."
			aa-complain /etc/apparmor.d/*
			fi

	echo -e "\nServidor configurado. Reinicie o sistema para validar!"		echo -e "\nServidor configurado. Reinicie o sistema para validar!"