Para solucionarlo, utilizamos el siguiente fichero PHP:

<?php

  function fsmodify($obj) {
       $chunks = explode('/', $obj);
       chmod($obj, is_dir($obj) ? 0755 : 0644);
       chown($obj, $chunks[2]);
       chgrp($obj, $chunks[2]);
    }


    function fsmodifyr($dir) 
    {
       if($objs = glob($dir."/*")) {        
           foreach($objs as $obj) {
               fsmodify($obj);
               if(is_dir($obj)) fsmodifyr($obj);
           }
       }

       return fsmodify($dir);
    }   

  fsmodifyr('web');

?>

Este fichero modificará recursivamente los permisos de todos los ficheros y carpetas dentro de web, de forma que serán descargables por cualquier usuario, incluido el que tenga acceso FTP.

Gracias a Felipe Alcacibar por su solución en Stack Overflow.

El plan consiste básicamente en realizar consultas SQL a la base de datos de Plesk para Windows, a partir de las cuáles se pueda obtener una serie de scripts que utilicen los comandos CLI provistos por Plesk. Una vez replicada la estructura de clientes y dominios, ya se comienza a pasar los datos, vía FTP, del código de las webs, y mediante exports de MySQL para las bases de datos. Para el correo se creó una utilidad en Python que analizaba el fichero AUTH.TAB de MailEnable, generando un script que crea los buzones en Plesk, y después invoca a imapsync para copiar el contenido de los mismos.

Estructura de dominios en Plesk

Comenzamos generando la estructura de revendedores, clientes y dominios en el servidor destino, creando una serie de comandos para el CLI de Plesk, ejecutando comandos SQL en el servidor origen:

SQL que genera los revendedores:

SELECT "reseller -c " + cl.login +
" -name """ + cl.pname + """" +
" -passwd " + cl.passwd +
" -company """ + cl.cname + """" +
" -phone """ + cl.phone + """" +
" -email """ + cl.email + """" +
" -address """ + cl.address + """" +
" -city """ + cl.city + """" +
" -zip """ + cl.pcode + """" +
" -country """ + cl.country + """" +
" -creation-date """ + FORMAT(cl.cr_date,"YYYY-MM-DD") + """"
FROM clients cl
WHERE type = "reseller"

SQL que genera un script para la creación de clientes, obviando los suscriptores, que ya tienen su cuenta del paso anterior:

SELECT "customer -c " + cl.login +
" -name """ + cl.pname + """" +
" -passwd " + cl.passwd +
" -company """ + cl.cname + """" +
" -phone """ + cl.phone + """" +
" -email """ + cl.email + """" +
" -address """ + cl.address + """" +
" -city """ + cl.city + """" +
" -zip """ + cl.pcode + """" +
" -country """ + cl.country + """" +
" -creation-date """ + FORMAT(cl.cr_date,"YYYY-MM-DD") + """" +
" -owner """ + res.login + """"
FROM clients cl
LEFT JOIN clients res ON (res.id = cl.parent_id)
  WHERE type <> "reseller"

En este punto, nosotros reemplazamos el owner “admin” por nuestra empresa, para que nada dependiese del usuario raíz, ya que según la nueva estructura de Plesk 10, parece más correcto.

Por último, el SQL que genera un script para la creación de suscripciones a partir de los dominios de Plesk 9. Los dominios los crea con el DNS desactivado, dado que seguiremos manejando el servicio DNS con el otro servidor, y a la IP compartida (que está, claramente, modificada). También el login utiliza sólo minúsculas, ya que se ha introducido esta restricción en Plesk 10.

SELECT "domain -c " + dom.name +
" -owner """ + cl.login + """" +
" -dns false" +
" -hosting true " +
" -ip 192.168.0.164 " +
" -login """ + LCASE(hos.fp_adm) + """" +
" -passwd """ + hos.fp_pass + """" +
" -creation-date """ + FORMAT(dom.cr_date,"YYYY-MM-DD") + """"
FROM (domains dom
LEFT JOIN clients cl ON (cl.id = dom.cl_id))
LEFT JOIN hosting hos ON (hos.dom_id = dom.id)

Puntos mejorables:

• Hay que revisar los DNS a mano. Hemos preferido hacerlo así, para hacer limpieza, pero tampoco sería complejo realizar un script similar a los mostrados, y marcar las suscripciones con el servicio DNS activado por defecto, de forma que sólo quedase pendiente realizar la modificación en el dominio.
• Las redirecciones de correo y demás opciones específicas deben ser revisadas, ya que el script únicamente ignora las cuentas que estén desactivadas en MailEnable, pero nada más.
• Todas las suscripciones pasan como hosting, así que las que son redirecciones o simplemente sin hosting no pasan mediante el script. Esto es debido a que se hace un JOIN con la tabla hosting de Plesk 9.
• Las suscripciones y revendedores pasan con un plan personalizado. En nuestro caso nos da igual, porque vamos a aprovechar para repasar todos los clientes y revisar así usos y precios.

Correo electrónico

Bien, tras esto ya tenemos los revendedores, clientes, suscripciones y dominios en Plesk 10. A continuación presentamos una pequeña utilidad en Python que genera dos ficheros, uno que permite la creación de los buzones en Plesk, y otro que sincroniza los correos entre los dos servidores mediante IMAP, creando la estructura de carpetas existente en el antiguo.

# This Python file uses the following encoding: utf-8
'''
me2plesk: Utilidad para la transformación de AUTH.TAB en scripts Plesk 10 e imapsync
Created on 13/10/2011
@author: Vicente Monroig (Digital Disseny)
'''

import os
import sys

def parse_authtab(fichero):
    '''Abre el fichero AUTH.TAB, lo parsea y devuelve una lista con los buzones y contraseñas.'''
    print "Procesando fichero AUTH.TAB " + fichero + "..."
    f = open(fichero, "r")
    lista = []
    while True:
        lin = f.readline().strip()
        if not lin: break
        campos = lin.split('\t')
        # Ignoramos los que estén desactivados
        if campos[1] <> 1:
            lista.append([campos[0], campos[2]])
    f.close()
    return lista

# Obtenemos la ruta donde se está ejecutando el archivo
ruta = os.path.dirname(os.path.abspath(__file__)) + '/'
# Recogemos el parámetro donde está el AUTH.TAB o mostramos la ayuda
if (len(sys.argv) > 1):
    # Extraemos los pares correo, contraseña
    lista = parse_authtab(sys.argv[1])
    print("Generando scripts...")
    # Creamos los archivos de script
    fplesk = open(ruta + 'me2plesk_plesk.txt', "w")
    fsync = open(ruta + 'me2plesk_imapsync.txt', "w")
    for elemento in lista:
        # Creamos una nueva línea en ambos scripts
        fplesk.write("/opt/psa/bin/mail --create " + elemento[0] + " -passwd " + elemento[1] +
                     " -mailbox true\n")
        fsync.write("imapsync --host1 origen.com" +
                    " --user1 " + elemento[0] + " --password1 " + elemento[1] +
                    " --host2 destino.com" +
                    " --user2 " + elemento[0] + " --password2 " + elemento[1] +
                    " --sep1 / --prefix1 ""  --subscribe --fastio1 --fastio2 --fast\n")
    fplesk.close()
    fsync.close()
    print("Scripts me2plesk_plesk.txt y me2plesk_imapsync.txt generados en %s." % ruta)
else:
    print """
Información:
    me2plesk es una pequeña utilidad que analiza sintácticamente el fichero AUTH.TAB del
    servidor de correo MailEnable para Windows, generando dos scripts, uno que llama a la
    función mail del CLI de Plesk 10, creando los buzones encontrados, y un segundo que
    invoca a la utilidad imapsync, una vez por cada buzón, permitiendo con la combinación
    de ambos la mudanza de un servidor MailEnable Windows a un Plesk 10.
Uso:
    me2plesk.py <AUTH.TAB>
       """

Además, como algunos ISPs son algo lentos cambiando los registros DNS, tenemos la ventaja de que no perderemos ningún correo, al poder ejecutar la sincronización varias veces, incluso con los DNS ya cambiados y propagados.

Una pega: Aquellos clientes que mantengan correo en el servidor y utilicen POP3 como protocolo, verán sus correos duplicados en los clientes. Sin embargo, los que utilicen IMAP no tendrán este problema, dado que imapsync, la utilidad llamada por el script para sincronizar los buzones, respeta las flags de cada mensaje.

Webs (código y bases de datos)

Para pasar el código de las webs utilizaremos FTP, y más concretamente LFTP, que incorpora un comando mirror que nos va a permitir realizar todo el traspaso en una única línea de comandos ejecutada en el servidor destino:

lftp -e "mirror httpdocs /var/www/vhosts/<dominio>/httpdocs --parallel=10" -u <usuario>,<contraseña> <servidor_fuente>

Quedaría ajustar los permisos y propietario de los distintos archivos. Podemos poner unos estándar para Plesk y después repasar lo que necesite permisos de escritura, como carpetas para ficheros temporales.

chown -R <usuarioplesk>:psacln /var/www/vhosts/<dominio>/httpdocs/*
find /var/www/vhosts/<dominio>/httpdocs/* -type d -exec chmod 755 {} \;
find /var/www/vhosts/<dominio>/httpdocs/* -type f -exec chmod 644 {} \;

Vamos a por las bases de datos. Nos centraremos en MySQL, que son las que nos vamos a encontrar en su mayoría (WordPress, Joomla, Magento, Drupal…). Aprovechando que todavía tenemos un servidor Windows, podemos utilizar HeidiSQL para realizar una copia de seguridad, y si configuramos debidamente el servidor destino para aceptar conexiones externas, también podremos utilizarlo para restaurar, todo desde el mismo servidor origen.

DNS

Ya están la estructura de usuarios recreada, correos pasados, código fuente transferido y bases de datos restauradas. Tan sólo queda modificar los DNS de los dominios para que dirijan al nuevo servidor.

Como último apunte, antes de comenzar con los cambios de IPs en los DNS es muy recomendable modificar los registros SOA, indicando un TTL de 5 minutos, con lo que podremos realizar modificaciones que se propaguen mucho más rápido. Por supuesto, esto conlleva un aumento del tráfico, pero con las máquinas y anchos de banda de hoy en día, no debería ser ningún problema.

Recordad también que el archivo hosts es nuestro amigo, y que es muy conveniente realizar pruebas en el nuevo servidor antes de cambiar los DNS. Siempre podemos relanzar la sincronización de correos y volver a pasar la copia de seguridad de la base de datos cuando estemos seguros de que todo está operativo de nuevo.

Organización

Lo más crucial, lo más importante y lo único que no puede fallar durante el proceso es la organización. Sobre esto poco voy a decir, pues esto es un blog técnico, pero sí quiero remarcar que antes de empezar hay que planificar y dividir las tareas que van a tener que hacerse fuera de horario de oficina. Hay que comunicar a los clientes previamente lo que se va a hacer, y que les quede claro que puede haber problemas, y cuándo se va a hacer, no sea que les dé por liarse a actualizar su web justo cuando tenemos pensado ponernos a migrar sus servicios.

Prepara una hoja de cálculo, verifica y anota los servicios a trasladar, agrúpalos por similitud y anota los posibles problemas y su resolución. Como mínimo.

El servidor elegido se puede cambiar en el parámetro, por supuesto, pero así de paso veis cuál es el NTP que lleva la hora oficial en España, del Real Instituto y Observatorio de la Armada.

Para no tener que teclear tanto, esta es la secuencia de comandos:

net stop w32time
net start w32time
w32tm /config /manualpeerlist:hora.roa.es,0x1 /syncfromflags:MANUAL
w32tm /config /update
w32tm /resync

Se puede realizar un filtrado por multitud de conceptos, tanto sobre el nombre y ruta del fichero como sobre el contenido. Por nombrar algunos:

• Longitud del nombre del fichero.
• Ancho de la imagen contenida.
• Datos de la cámara con que se realiza la fotografía.
• Título de la canción según ID3.
• Autor del texto del PDF.

Después, para los ficheros que cumplan el filtro se pueden definir acciones que no se limitan a jugar con el nombre, como pueden ser:

• Mover el fichero.
• Recuperar el nombre de una lista CSV.
• Encriptación de los nombres de archivo por contraseña.

En definitiva, tras probar unos cuantos, el mejor que he encontrado. Eso sí, sólo Windows.

Espera, ¿que no quieres pagar por el renombrador? Pues nada, hay una alternativa, pero no es tan estética e intuitiva: Bulk Rename Utility.

No me ha hecho falta, así que no he buscado mucho, pero creo que tampoco puede lidiar con MP3, JPG y PDF. Lo que sí hace perfectamente es trabajar con las longitudes de nombres y tratar la generación de duplicados.

Primero averiguamos dónde está la configuración de postfix y el fichero de plantilla:

postconf -n | grep config_directory
postconf -n | grep bounce_template_file

Si ya tenemos un fichero de plantilla, simplemente sustituimos el contenido por el que adjuntamos poco después. Si no lo tenemos configurado, modificamos el fichero main.cf, añadiendo una línea:

bounce_template_file = /etc/postfix/bounce.es-ES.cf

Y creando el fichero /etc/postfix/bounce.es-ES.cf, con el siguiente contenido:

#
# The failure template is used when mail is returned to the sender;
# either the destination rejected the message, or the destination
# could not be reached before the message expired in the queue.
#

failure_template = <<EOF
Charset: utf-8
From: MAILER-DAEMON (Sistema de entrega de correo)
Subject: Servidor de correo: Mensaje no entregado
Postmaster-Subject: Servidor de correo: Mensaje no entregado

Este es un mensaje de correo enviado automáticamente por el servidor de
correo $myhostname.

No ha sido posible entregar su mensaje a uno o más destinatarios. El
mensaje que causó el error está adjunto a este mensaje.

Para más información o cualquier duda, por favor, envíe un mensaje al
administrador del sistema en <postmaster>.

En tal caso incluya adjunto este mensaje de informe. Puede eliminar el
texto del mensaje original que considere, aunque le recomendamos que
mantenga intacto el texto de este informe.

-------------------------------------------------------------------------------

This is the mail system at host $myhostname.

I'm sorry to have to inform you that your message could not
be delivered to one or more recipients. It's attached below.

For further assistance, please send mail to <postmaster>

If you do so, please include this problem report. You can
delete your own text from the attached returned message.

                   The mail system
EOF

#
# The delay template is used when mail is delayed. Note a neat trick:
# the default template displays the delay_warning_time value as hours
# by appending the _hours suffix to the parameter name; it displays
# the maximal_queue_lifetime value as days by appending the _days
# suffix.
#
# Other suffixes are: _seconds, _minutes, _weeks. There are no other
# main.cf parameters that have this special behavior.
#
# You need to adjust these suffixes (and the surrounding text) if
# you have very different settings for these time parameters.
#

delay_template = <<EOF
Charset: utf-8
From: MAILER-DAEMON (Sistema de entrega de correo)
Subject: Servidor de correo: Mensaje pospuesto
Postmaster-Subject: Servidor de correo: Mensaje pospuesto

Este es un mensaje de correo enviado automáticamente por el servidor de
correo $myhostname.

###########################################
# ÉSTE ES SÓLO UN MENSAJE DE AVISO.       #
# NO ES NECESARIO QUE REENVÍE EL MENSAJE. #
###########################################

Su mensaje no pudo ser entregado al destinatario después de intentarlo
durante $delay_warning_time_hours hora(s).
Se seguirá intentando enviar el mensaje hasta que pasen
$maximal_queue_lifetime_days días.

Para más información o cualquier duda, por favor, envíe un mensaje al
administrador del sistema en <postmaster>.

En tal caso incluya adjunto este mensaje de informe. Puede eliminar el
texto del mensaje original que considere, aunque le recomendamos que
mantenga intacto el texto de este informe.

-------------------------------------------------------------------------------

This is the mail system at host $myhostname.

####################################################################
# THIS IS A WARNING ONLY.  YOU DO NOT NEED TO RESEND YOUR MESSAGE. #
####################################################################

Your message could not be delivered for $delay_warning_time_hours hour(s).
It will be retried until it is $maximal_queue_lifetime_days day(s) old.

For further assistance, please send mail to <postmaster>

If you do so, please include this problem report. You can
delete your own text from the attached returned message.

                   The $mail_name program
EOF

#
# The success template is used when mail is delivered to mailbox,
# when an alias or list is expanded, or when mail is delivered to a
# system that does not announce DSN support. It is an error to specify
# a Postmaster-Subject: here.
#

success_template = <<EOF
Charset: utf-8
From: MAILER-DAEMON (Sistema de entrega de correo)
Subject: Servidor de correo: Informe de entrega correcta de mensaje

Este es un mensaje de correo enviado automáticamente por el servidor de
correo $myhostname.

Su mensaje fue entregado correctamente al/a los destinatario/s indicados a
continuación. Si el mensaje fue entregado directamente a los destinatarios,
no recibirá más notificaciones; en caso contrario, si el mensaje tuviera que
pasar por más servidores de correo, es posible que reciba más notificaciones
de estos servidores.

-------------------------------------------------------------------------------

This is the mail system at host $myhostname.

Your message was successfully delivered to the destination(s)
listed below. If the message was delivered to mailbox you will
receive no further notifications. Otherwise you may still receive
notifications of mail delivery errors from other systems.

                   The mail system
EOF

#
# The verify template is used for address verification (sendmail -bv
# address...). or for verbose mail delivery (sendmail -v address...).
# It is an error to specify a Postmaster-Subject: here.
#

verify_template = <<EOF
Charset: utf-8
From: MAILER-DAEMON (Sistema de entrega de correo)
Subject: Servidor de correo: Informe de estado de entrega de mensaje

Este es un mensaje de correo enviado automáticamente por el servidor de
correo $myhostname.

Adjunto a este mensaje se encuentra el informe de entrega solicitado.

-------------------------------------------------------------------------------

This is the mail system at host $myhostname.

Enclosed is the mail delivery report that you requested.

                   The mail system
EOF

Como dato extra, es posible que también quieras modificar el remitente de dichos correos, que suele ser MAILER-DAEMON@hostname. Esto, como bien se apunta aquí, se soluciona modificando el fichero /etc/mailname en sistemas Debian, como Ubuntu.

Por último, recargamos la configuración de postfix para que sea efectivo el cambio:

postfix reload

Partiremos de una instalación funcional de IIS 7.5 en el puerto web estándar, y de Tomcat 7.0.25 en el puerto 8080 con AJP en el puerto 8009. Si no sabes cómo llegar a este punto, mal empezamos…

Supondremos que la web JSP que queremos alojar está en

C:\inetpub\wwwroot\miwebaspxjsp.com\partejsp. En tal caso, lo primero que haremos será hacer que Tomcat conozca dicho código, creando un fichero XML en %CATALINA_HOME%\conf\Catalina\localhost, con nombre partejsp.xml, y con el siguiente contenido:

<Context
  displayName="partejsp"
  docBase="C:\inetpub\wwwroot\miwebaspxjsp.com\partejsp"
  path="/partejsp"
  reloadable="true"
/>

Ahora vamos a la URL http://miwebaspxjsp.com:8080/partejsp, y deberíamos ver el contenido servido directamente por Tomcat correctamente. Si no es así, toca revisar las rutas y reiniciar el servicio Tomcat.

Sin embargo, si vamos a la URL http://miwebaspxjsp.com/partejsp, obtendremos un precioso error 404.3, ya que IIS no sabe cómo interpretar el script y además no nos permite descargarlo al no conocer el tipo MIME del fichero.

Ahora la parte mágica: Descarga el proyecto IIS to Tomcat Connector de Bilal. En él encontrarás un instalador que a partir de unos datos mínimos de configuración se encargará de registrarse en el IIS, pudiendo limitarse a los sitios que se le indique, de forma que no haya que configurar nada más que el nuevo documento por defecto index.jsp.

Tras la instalación, prueba de nuevo la URL http://miwebaspxjsp.com/partejsp, y si todo ha ido correctamente, ya se debería mostrar exactamente lo mismo que accediendo a http://miwebaspxjsp.com:8080/partejsp.

Como limitación, indicar que con este sistema siempre se cargaría la web JSP como subdirectorio, en la URL http://www.miwebaspjsp.com/partejsp/. Seguramente se podrá solucionar, pero como no lo hemos necesitado, no he investigado más.

Actualización: Cómo hacerlo funcionar en el raíz y con servlets

Para hacerlo funcionar en el raíz del dominio, podemos utilizar el módulo URL Rewrite de IIS, similar al mod_rewrite de Apache, de forma que redirijamos todas las peticiones a una subcarpeta, y así no tenemos que pelear tanto con la configuración. También debemos preservar la ruta de la cookie, para evitar problemas con las sesiones, con una segunda regla. Quedaría en web.config más o menos así:

        <rewrite>
            <rules>
                <rule name="Reescribimos a subcarpeta" enabled="true">
                    <match url="^(.*)" />
                    <action type="Rewrite" url="carpetaconjsp/{R:1}" />
                </rule>
            </rules>
            <outboundRules>
                <rule name="Reescribimos la ruta de la cookie de sesión">
                    <match serverVariable="RESPONSE_Set_Cookie" pattern="^(.*); Path=/carpetaconjsp(.*)" />
                    <action type="Rewrite" value="{R:1}; Path={R:2}" />
                </rule>
            </outboundRules>
        </rewrite>

Igualmente, si utilizamos servlets, habrá que modificar el manejador por defecto, para que IIS no salte con un 404 si no se llama a algo que no sea un JSP, quedando el siguiente código en web.config:

        <handlers>
            <add name="Boncode" path="*" verb="*" type="BonCodeIIS.BonCodeCallHandler,BonCodeIIS,Version=1.0.0.0,Culture=neutral,PublicKeyToken=ad590a40d40745cf" resourceType="Unspecified" preCondition="integratedMode" />
        </handlers>

Para solucionarlo, tendremos que reactivar dichos controladores, como bien se explica en el KB922976, bien restaurando momentáneamente el hardware original, o mediante las herramientas de reparación integradas en el DVD de Windows 7 (en el símbolo de sistema podemos ejecutar RegEdit), o incluso utilizando un editor de registro offline, como el incluido con UBCD4Win. Las claves que debemos modificar son:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Msahci
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\IastorV

Poniendo en ambas el valor de Start a 0.

Sin embargo, si se utiliza a la ligera puede dar problemas, como por ejemplo si decidimos que las nuevas líneas de factura tengan un impuesto por defecto. Al principio puede parecer que es una maravilla, hasta que queremos introducir una factura de proveedor y comprobamos que si no tenemos cuidado, vamos a asignarle el mismo IVA repercutido de las facturas de clientes, cuando debería ser IVA soportado. A la hora de deshacerlo, se pueden eliminar las líneas de impuestos y establecer de nuevo el valor con el asistente, o bien modificar directamente la base de datos.

Así, para eliminar la opción comentada de unos impuestos por defecto en la línea de factura, esta es la sentencia SQL a utilizar:

DELETE
  FROM ir_values
  WHERE name = 'invoice_line_tax_id'

Para solucionarlo, basta con modificar la línea 395 de invoice.py en el módulo account:

        if p.property_account_receivable and (p.property_account_receivable.company_id.id != company_id) and p.property_account_payable and (p.property_account_payable.company_id.id != company_id):

De esta forma, antes de utilizar las cuentas a cobrar y a pagar del partner, se comprueba que estén definidas, que es lo que estaba dando problemas, aunque entiendo que no debería, al tener instalado el módulo de NaN que en principio las gestiona debidamente.

Lamentablemente, parece que por cuestiones de licencia, ya no se siguen generando los binarios en paquetes Debian, por lo que el método recomendado de instalación es compilar a partir del código fuente, pero esto necesita un cambio en el servidor Apache que viene con Plesk 10 para Ubuntu, así que mejor dejamos la última versión disponible instalable con apt, y procedemos con:

apt-get install libapache-mod-security

Esto nos dejará instalados y activados los módulos mod_security2 y mod_unique_id, con sus enlaces en /etc/apache2/mods-enabled. Ahora necesitamos un conjunto de reglas para ModSecurity, y las que vamos a utilizar son las gratuitas de Atomicorp, los editores de ASL, que las ofrecen con un retraso de 90 días sobre las de pago, disponibles en http://updates.atomicorp.com/channels/rules/delayed/. Las descargamos y descomprimimos en /etc/apache2/modsecurity.d:

mkdir /etc/apache2/modsecurity.d
wget http://updates.atomicorp.com/channels/rules/delayed/modsec-2.5-free-latest.tar.gz
tar xvf modsec-2.5-free-latest.tar.gz

Ahora creamos un fichero de configuración, también en /etc/apache2/modsecurity.d, llamado modsecurity_crs_10_config.conf, con el siguiente contenido:

SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess On
SecResponseBodyMimeType (null) text/html text/plain text/xml
SecResponseBodyLimit 2621440
SecServerSignature Apache
SecComponentSignature 200911012341
SecUploadDir /var/asl/data/suspicious
SecUploadKeepFiles Off
SecAuditEngine RelevantOnly
SecAuditLogRelevantStatus "^(?:5|4(?!04))"
SecAuditLogType Concurrent
SecAuditLog /var/log/apache2/modsecurity/audit_log
SecAuditLogParts ABIFHZ
SecArgumentSeparator "&"
SecCookieFormat 0
SecRequestBodyInMemoryLimit 131072
SecDataDir /var/asl/data/msa
SecTmpDir /tmp
SecAuditLogStorageDir /var/asl/data/audit
SecResponseBodyLimitAction ProcessPartial

#SecPcreMatchLimit  100000
#SecPcreMatchLimitRecursion 100000

SecDebugLog /var/log/apache2/modsecurity/modsec_debug_log
SecDebugLogLevel 3

Atención a las carpetas especificadas para las estructuras de datos necesarias para ModSecurity, que deben existir y Apache tener permiso sobre ellas, por lo que ejecutamos:

mkdir /var/asl /var/asl/data /var/asl/data/audit /var/asl/data/msa /var/asl/data/security
chown -R www-data:www-data /var/asl/data/

Por último, creamos un fichero 00_modsecurity.conf en /etc/apache2/conf/, con ese nombre para que cargue el primero, activando las reglas que deseemos, que en nuestro caso son las siguientes:

LoadModule security2_module modules/mod_security2.so
LoadModule unique_id_module modules/mod_unique_id.so

  # Todas + exclusiones personalizadas:
  Include /etc/apache2/modsecurity.d/00_asl_0_global.conf
  Include /etc/apache2/modsecurity.d/00_asl_custom_exclude.conf
  # Quitamos RBL porque coge las IPs incorrectamente, como desordenadas
  #Include /etc/apache2/modsecurity.d/00_asl_rbl.conf
  #Include /etc/apache2/modsecurity.d/00_asl_whitelist.conf
  # Esta sólo funciona con ModSecurity > 2.6.1
  #Include /etc/apache2/modsecurity.d/00_asl_z_antievasion.conf
  Include /etc/apache2/modsecurity.d/00_asl_zz_strict.conf
  Include /etc/apache2/modsecurity.d/05_asl_exclude.conf
  # No tenemos el CLAM antivirus instalado
  #Include /etc/apache2/modsecurity.d/05_asl_scanner.conf
  Include /etc/apache2/modsecurity.d/09_asl_rules.conf
  Include /etc/apache2/modsecurity.d/09_asl_rules_antievasion.conf
  Include /etc/apache2/modsecurity.d/10_asl_antimalware.conf
  Include /etc/apache2/modsecurity.d/10_asl_antimalware_output.conf
  Include /etc/apache2/modsecurity.d/10_asl_rules.conf
  Include /etc/apache2/modsecurity.d/11_asl_data_loss.conf
  Include /etc/apache2/modsecurity.d/12_asl_brute.conf
  Include /etc/apache2/modsecurity.d/20_asl_useragents.conf
  Include /etc/apache2/modsecurity.d/30_asl_antimalware.conf
  Include /etc/apache2/modsecurity.d/30_asl_antispam.conf
  Include /etc/apache2/modsecurity.d/30_asl_antispam_referrer.conf
  Include /etc/apache2/modsecurity.d/40_asl_apache2-rules.conf
  Include /etc/apache2/modsecurity.d/50_asl_rootkits.conf
  Include /etc/apache2/modsecurity.d/60_asl_recons.conf
  Include /etc/apache2/modsecurity.d/61_asl_recons_dlp.conf
  Include /etc/apache2/modsecurity.d/98_asl_jitp.conf
  Include /etc/apache2/modsecurity.d/99_asl_exclude.conf
  Include /etc/apache2/modsecurity.d/99_asl_jitp.conf
  Include /etc/apache2/modsecurity.d/99_asl_redactor.conf
  # No tenemos el CLAM antivirus instalado
  #Include /etc/apache2/modsecurity.d/99_asl_scanner.conf

Vamos, prácticamente todas, menos la que da problemas por la versión de ModSecurity, que no es la 2.6.1 o superior, las de listas negras y las del antivirus CLAM.

Ya está todo listo. Comprobamos que la configuración de Apache es correcta con

apache2ctl configtest

Y si lo es, reiniciamos apache con

apache2ctl graceful

Hale, ya podemos empezar a ver correr en /var/log/apache2/modsecurity/audit_log la lista de peticiones bloqueadas.

Actualización: Cómo desactivar reglas

Es muy posible que tengamos que desactivar algunas reglas al encontrarnos con falsos positivos, mostrando errores 403 cuando los permisos y el código están perfectamente. En nuestro caso, al alojar tiendas, algunos TPVs virtuales dan problemas, así que decidimos desactivar globalmente. Para esto, se modifica el fichero /etc/apache2/modsecurity.d/00_asl_custom_exclude.conf, añadiendo el siguiente contenido:

<LocationMatch .*>
  <IfModule mod_security2.c>
    SecRuleRemoveById 350147
    SecRuleRemoveById 350148
  </IfModule>
</LocationMatch>

Al modificar el fichero de configuración global y utilizar .* como patrón, indicamos que para cualquier dominio y URL alojada en el servidor no queremos que se tengan en cosideración esas reglas. También podemos modificar una regla para un dominio en particular, modificando el fichero vhost.conf que Plesk utiliza para este menester, y regenerando la configuración, por supuesto.