他のアプリケーションがポート80および443にバインドしないようにする

先週、彼のウェブサイトがハッキングされたと思ったため、怖い顧客から電話がありました。彼のWebサイトを検索すると、apache2デフォルトのページが表示されました。その夜、サーバー（Ubuntu 16.04 LTS）がアップグレードされて再起動しました。通常、何かがうまくいかないとき、私は夜中に警告を受けたでしょう。これは、監視システムがHTTPステータスコード200をチェックし、apache2デフォルトページにステータスコード200が付いているためです。

起こったのは、起動中apache2にポート80と443へのバインドが実際のWebサーバーnginxよりも高速だったことです。私は自分でapache2をインストールしませんでした。aptitude why apache2私が見つけたphp7.0パッケージには、それを必要とします。

削除apache2するだけでは動作しません。どうやらphp7.0が必要だからです。nginxのみがポート80および443にバインドできるように制限を作成することはどういうわけか可能ですか？

他のソリューションも大歓迎です。

ポートが間違ったサービスにバインドされるのを防ぐことはできません。あなたの場合、autostartからapacheを削除するだけで十分です。

16.04以降の場合：

sudo systemctl disable apache2

古いUbuntuバージョンの場合：

sudo update-rc.d apache2 disable

を実際に使用しておらずapache2、それを必要としているのがPHP 7.0である場合、libapache2-mod-php7.0インストールされているように見えます。そのパッケージは、Apacheなしでは役に立ちません。nginxを使用しているので、おそらくインストールphp7.0-fpmまたはphp7.0-cgiインストールされていますが、どちらもphp7.0依存関係の要件を満たすには十分です。

$ apt-cache depends php7.0
php7.0
 |Depends: php7.0-fpm
 |Depends: libapache2-mod-php7.0
  Depends: php7.0-cgi
  Depends: php7.0-common
  Conflicts: <php5>

どちらかがphp7.0-{fpm,cgi}インストールされている場合は、先に進んでApacheをアンインストールできます。

質問に答えるために、SElinuxを使用してポートを特定のアプリケーションに制限することができます。私はそれを自分で使用したことはなく、その機能の表面的な知識しか持っていませんが、このサイトで見つけたポインターは次のとおりです。

/server//a/257056/392230

その答えでは、wzzrdは特定のアプリケーション（foo）に特定のポート（803）にバインドする許可を与える方法を示しているようです。アプリケーション（nginx）のみが指定したポート（80および443）を許可されるように、ポリシーを設定する必要があります。

wzzrdの答えに基づいて、これをポリシーに追加するのと同じくらい簡単かもしれません

allow nginx_t nginx_port_t:tcp_socket name_bind;

これを実行する

semanage port -a -t nginx_port_t -p tcp 80
semanage port -a -t nginx_port_t -p tcp 443

ただし、他のプログラムがこれらのポートにバインドできないことを指定するポリシーの行も必要になると思います。

最後に、適切な構成が何であるかを推測しています。

とにかく、デフォルトでSElinuxがインストールされて有効になっているUbuntuがあったとは思わない。さまざまなユーティリティとカーネルオプションに特定のパッチを適用する必要があると思うため、get-goからSElinuxをインストールして有効にしたCentosを使用する方が簡単かもしれません。

申し訳ありませんが、私はこれ以上助けにはなりません。おそらく別の時間に、Centosのイメージをダウンロードして、これを試してみます。良い学習ステップになります。更新したら、この回答を更新します。

私はまだ答えを見ていませんが、まだ可能性があります：

念のため、別のポートをリッスンするようにApache構成を変更します。これを行うには、Apache構成ファイルを開き、Listen 80別のポートにある行を変更します。

正確な質問に対する答えはありませんが、ディストリビューションを確認する必要があるかもしれません。インストール時にサービス（ここではapache2）を安全にするディストリビューションを検討します。それをしないディストリビューションを検討することを検討してください。Archlinuxでその動作を見たことはありませんが、他にもあると確信しています。