Что делать с компрометированным сервером?

Вопрос неакуален.

На сервере будет openvz.

Причины (помимо более низких требований к железу) — удобнее массово управлять, код не настолько крив (патчи к ядру xen'а вдвое больше и вдесятеро кривее, и это если закрыть глаза на то, что xen есть только для 2.6.18), openvz пока что не собирается вымирать (а когда допилят KVM, т.е. года через 2-3, xen медленно но верно подохнет, это ежу понятно, оно вообще после покупки citrix умирает) и больше хостеров, которым можно сплавить клиента.

А также там будет Debian Lenny. Как на хосте, так и нас всех виртуалках (ну разве что, может быть, на виртуалке под ejabberd+pyicqd исключение сделаю и поставлю какой-нибудь bleeding-edge).

RHEL (Centos) не годится, т.к. я хочу более свежее ядро (2.6.26 в ленни против 2.6.18 в центосе) и apt (плюс, там в официальные репозитории nginx входит, когда как в рхеле хрен). Весь софт будет из официального репозитория, хотя, если потребуется оптимизация, первым делом обновлю мускль с 5.0 на 5.1. Если (внезапно) и после этого потребуется оптимизация, то обновлю nginx (в ленни нынче 0.6).

> Главное, что не фряха, меня от неё воротит уже, с неё же ухожу).

Не придуривайся.

Достался бы сервак CentOS от админа-алкаша, точно так же бы запел.

> А в качестве гостевых тогда будут дебианы.

Угу — дибиланы.

> Он так и кишит всякими php-шеллами и прочей гадостью.

Так в чём проблема? Аудитом ПО не можешь заняться?

> В моём распоряжении есть ещё один чистый сервер на колокейшне, куда я поставлю генту.

:))

В моём распоряжении есть ещё один чистый сервер на колокейшне, куда я поставлю генту.

:))

ну ошибся же, чего лыбишься

Он так и кишит всякими php-шеллами и прочей гадостью.

Так в чём проблема? Аудитом ПО не можешь заняться?

К тому, что есть, доверия нет никакого. Сначала всех перенесу, а потом уж буду подчищать корни сайтов.

Главное, что не фряха, меня от неё воротит уже, с неё же ухожу).

Не придуривайся. Достался бы сервак CentOS от админа-алкаша, точно так же бы запел.

Если когда-нибудь припрёт, то да, заюзаю фряху. Но сейчас смысла нет. Клиентам-то надо будет отдавать образы openvz, jails тут не прокатит. Плюс мне во фряхе несколько вещей очень не нравится (касательно портов, файловой структуры и пр.), так что никакого придуривания.

Если что - отдай мне клиентов на хостинг, охота новый сервачок на предмет стойкости потестить

Их не я буду сплавливать. И не задарма.

Можно попробовать с простого зайти - поставить CentOS: 1) врубить SELinux в Enforcing, предварительно выставив контексты безопасности на нестандартные пути 2) запретить пользователю apache устанавливать соединения - пущай попытаются скачать что-нибудь.

По виртуалкам если распихать, изоляция в любом случае лучше будет. И администрировать проще. Тем более, это опыт важный.