Erweiterung des Perfect Server - Debian Squeeze [ISPConfig 3]

Version 1.0
Autor: Thomas ( http://iopen.gr)
Zuletzt bearbeitet am 2012-02-05 (05. Februar 2012)

Das folgende Tutorial erweitert den “Perfect Server…. “ für ISPConfig 3 mit BIND & Courier, installiert in Debian Squeeze. Es erklärt, wie man die Standardports (ssh, ispconfig, webmin) ändert, wie man einige nützliche Anwendungen (webmin, roundcube, atop, htop, multitail, tiger usw.) installiert, wie man awstats regelmäßig (mehr als einmal am Tag) oder wann immer man möchte aktualisiert, wie man Datenbackups der Kunden (regelmäßig) erstellt, die unter ihrem Ordner zugänglich sind, und schließlich erklärt es, wie man das System für Leistung (mysqltuner, tuning-primer) oder Sicherheit (benutzerdefinierte Firewall-Regeln, (D)Dos Deflate, modifiziertes fail2ban) optimiert.

Dieses Tutorial funktioniert für mich, ich habe die in den Kommentaren erwähnten Fehler korrigiert, aber ich kann nicht garantieren, dass es für dich funktioniert.

Konkret erklärt dieses Tutorial, wie man:

Webmin installiert und seinen Port auf 50000 ändert
den Standardport für ISPConfig von 8080 auf 50443 ändert
Roundcube installiert, damit alle Benutzer über SSL (Port 50443 – wie ISPConfig) unter /webmail darauf zugreifen können
fail2ban (für webmin, roundcube, ssh) erweitert und einen kleinen Patch anwendet
multitail installiert und einen einfachen Befehl verwendet, um alle nützlichen Protokolle zu sehen
den Port 22 für SSH auf 50022 ändert
phpmyadmin über SSL (Port 50443 – wie ISPConfig) unter einer anderen URL als der Standard (z.B. /mydomaindb) zugänglich macht
einige nützliche Apps/Erweiterungen auf deinem Server installiert (htop, php-apc, iptraf, logwatch usw.)
awstats manuell oder automatisch aktualisiert, wann immer du möchtest
mysql-Einstellungen mit Skripten wie mysqltuner oder tuning-primer verbesserst, die vorschlagen, welche Einstellungen in deiner mysql-Installation optimiert werden sollten
dein System absicherst (einfache Schritte), indem du spezifische –beharrliche– IPs oder Netzwerke blockierst oder/und benutzerdefinierte Regeln verwendest, um deinen Server gegen einfache DDoS-Angriffe zu schützen, in Verbindung mit (D)Dos Deflate.
tägliche Backups der Webordner und Datenbanken der Kunden in ihren Ordnern erstellst, damit sie diese herunterladen können

Um diesem Tutorial zu folgen, musst du die folgenden Punkte lesen und anwenden:

Der Perfect Server - Debian Squeeze (Debian 6.0) mit BIND & Courier [ISPConfig 3]

Wenn du auf das ISPconfig-Panel und Webmail über SSL zugreifen möchtest, gehe ich auch davon aus, dass du das Kapitel 6.2 Aktivierung von SSL für die ISPConfig-Weboberfläche des ISPConfig 3 Handbuchs oder diesen Beitrag befolgt hast (Dies ist nur erforderlich, wenn du auf das Kontrollpanel UND die Webmail-Oberfläche über SSL auf Port 8080 zugreifen möchtest).

Eine Anmerkung hier: Um nach einem zukünftigen Update keine Probleme zu haben, mache:

cp /etc/apache2/ssl/ispserver.crt /usr/local/ispconfig/interface/ssl/ispserver.crt
cp /etc/apache2/ssl/ispserver.key /usr/local/ispconfig/interface/ssl/ispserver.key

und bearbeite /etc/apache2/sites-enabled/000-ispconfig.vhost, indem du die Zeilen entfernst, die du gemäß dem Handbuch eingefügt hast, und die Standardzeilen für SSL entkommentierst.

nano /etc/apache2/sites-enabled/000-ispconfig.vhost

Der Inhalt muss wie folgt aussehen:

[...]  
  # SSL-Konfiguration  
  SSLEngine On  
  SSLCertificateFile /usr/local/ispconfig/interface/ssl/ispserver.crt  
  SSLCertificateKeyFile /usr/local/ispconfig/interface/ssl/ispserver.key  
[...]

Wenn du das oben Genannte befolgt hast, gehe ich schließlich davon aus, dass du die Umgehungslösung zu suExec und ISPConfig 3 in diesem Beitrag gelesen hast.

Diese Anleitung ist eine (große) aktualisierte Version von Easy RoundCube (Über SSL) und Webmin mit fail2ban für ISPConfig 3 auf Debian Squeeze mit vielen weiteren Ergänzungen.

Bevor du fortfährst, stelle sicher, dass dein Server funktionsfähig ist und du mit ihm zufrieden bist. Wenn du diesem Tutorial folgst, wirst du viele Änderungen vornehmen, und dies (für sich genommen) erfordert viel Debugging im Falle von Fehlern!

1. WEBMIN

Bitte beachte, dass du, wenn du Webmin installierst, SEHR vorsichtig damit umgehen musst. Du solltest Webmin nicht verwenden, um Einstellungen kritischer Teile von ISPConfig (apache, postfix, imap, pop3, dns) zu bearbeiten. Verwende es nur in Notfällen oder wenn du Dinge tun musst, die NICHT mit ISPConfig interferieren (z.B. Firewall, Bootskripte, Cron usw.)

Um Webmin zu installieren, müssen wir zuerst einige Abhängigkeiten installieren:

apt-get install libapt-pkg-perl libauthen-pam-perl libio-pty-perl apt-show-versions

Lade die neueste Version von Webmin von http://www.webmin.com/download.html herunter:

cd /tmp
wget http://prdownloads.sourceforge.net/webadmin/webmin_1.530_all.deb

und installiere es:

dpkg -i webmin_1.530_all.deb

Bevor du einen Port auf etwas anderes als den Standard änderst, VERGISS NICHT, den Port zu deiner Firewall hinzuzufügen. Wenn du die Standardwerte von ISPConfig verwendest, gehe zu System -> Firewall und füge den gewünschten Port hinzu (In diesem Handbuch verwenden wir 50000 für Webmin, 50443 für ISPConfig, 50022 für ssh). Speichere und ENTFERNE die alten Ports (8080, 10000, 22) nicht, bis du dir absolut sicher bist, dass die neuen Ports funktionieren.

Um den Standardport von Webmin zu ändern, bearbeite die Datei /etc/webmin/miniserv.conf:

nano /etc/webmin/miniserv.conf

und ändere Port=10000 und listen=10000 in Port=50000 und listen=50000. Starte Webmin neu:

/etc/init.d/webmin restart

Besuche https://www.example.com:50000, um Updates über die Webmin-Oberfläche zu installieren. Du musst die Sicherheitswarnung akzeptieren, da das Zertifikat von Webmin benutzerdefiniert signiert ist.

2. Einen anderen Port für das ISPConfig-Kontrollpanel festlegen

Um den Standardport des ISPConfig-Kontrollpanels (8080) auf einen anderen (z.B. 50443) zu ändern:

nano /etc/apache2/sites-enabled/000-ispconfig.vhost

und stelle sicher, dass alle Verweise auf 8080 in 50443 geändert werden. Meiner sieht so aus (NUR die ersten Zeilen werden angezeigt):

[...]  
Listen 50443  
NameVirtualHost *:50443  
  
  
[...]

Starte Apache neu und greife auf das Kontrollpanel unter https://www.example.com:50443 zu:

/etc/init.d/apache2 restart