Der perfekte Server - Ubuntu 17.10 (Artful Aardvark) mit Apache, PHP, MySQL, PureFTPD, BIND, Postfix, Dovecot und ISPConfig 3.1

Dieses Tutorial zeigt die Installation eines Ubuntu 17.10 (Artful Aardvark) Webhosting-Servers mit Apache2, Postfix, Dovecot, Bind und PureFTPD, um ihn für die Installation von ISPConfig 3.1 vorzubereiten. Das resultierende System wird einen Web-, Mail-, Mailinglisten-, DNS- und FTP-Server bereitstellen.

ISPConfig 3 ist ein Webhosting-Kontrollpanel, das es Ihnen ermöglicht, die folgenden Dienste über einen Webbrowser zu konfigurieren: Apache oder nginx Webserver, Postfix Mailserver, Courier oder Dovecot IMAP/POP3-Server, MySQL, BIND oder MyDNS Nameserver, PureFTPd, SpamAssassin, ClamAV und viele mehr. Dieses Setup umfasst die Installation von Apache (anstatt Nginx), BIND (anstatt MyDNS) und Dovecot (anstatt Courier).

Dieses Tutorial handelt von Ubuntu 17.10, einer nicht-LTS (Long Term Support) Version. Die meisten Benutzer bevorzugen eine LTS-Version als Server, die Updates und Sicherheitspatches für eine viel längere Zeit erhält. Die neueste LTS-Version ist Ubuntu 16.04, dieses Tutorial existiert auch in einer Ubuntu 16.04-Version. Überlegen Sie sorgfältig, ob Sie die neuesten Pakete benötigen (und kein Problem mit einer kurzen Unterstützungsdauer haben), dann fahren Sie mit diesem Tutorial fort. Wenn Sie langfristigen Support benötigen, verwenden Sie bitte stattdessen das Ubuntu 16.04 Perfect Server Tutorial.

1. Vorbemerkung

In diesem Tutorial verwende ich den Hostnamen server1.example.com mit der IP-Adresse 192.168.0.100 und dem Gateway 192.168.0.1. Diese Einstellungen können bei Ihnen abweichen, daher müssen Sie sie gegebenenfalls ersetzen. Bevor Sie fortfahren, müssen Sie eine grundlegende Minimalinstallation von Ubuntu 17.10 haben, wie im Tutorial erklärt.

2. Bearbeiten Sie /etc/apt/sources.list und aktualisieren Sie Ihre Linux-Installation

Bearbeiten Sie /etc/apt/sources.list. Kommentieren Sie die Installations-CD aus oder entfernen Sie sie aus der Datei und stellen Sie sicher, dass die Universe- und Multiverse-Repositories aktiviert sind. Es sollte danach so aussehen:

nano /etc/apt/sources.list

#  
# deb cdrom:[Ubuntu-Server 17.10 _Artful Aardvark_ - Release amd64 (20171017.1)]/ artful main restricted  
#deb cdrom:[Ubuntu-Server 17.10 _Artful Aardvark_ - Release amd64 (20171017.1)]/ artful main restricted  
# Siehe http://help.ubuntu.com/community/UpgradeNotes, wie man auf  
# neuere Versionen der Distribution aktualisiert.  
deb http://de.archive.ubuntu.com/ubuntu/ artful main restricted  
# deb-src http://de.archive.ubuntu.com/ubuntu/ artful main restricted  
  
## Wichtige Fehlerbehebungsupdates, die nach der endgültigen Veröffentlichung der  
## Distribution erstellt wurden.  
deb http://de.archive.ubuntu.com/ubuntu/ artful-updates main restricted  
# deb-src http://de.archive.ubuntu.com/ubuntu/ artful-updates main restricted  
  
## N.B. Software aus diesem Repository wird VOLLSTÄNDIG VON DEM Ubuntu  
## Team UNTERSTÜTZT. Bitte beachten Sie auch, dass Software im Universe KEINE  
## Überprüfung oder Updates vom Ubuntu-Sicherheitsteam erhält.  
deb http://de.archive.ubuntu.com/ubuntu/ artful universe  
# deb-src http://de.archive.ubuntu.com/ubuntu/ artful universe  
deb http://de.archive.ubuntu.com/ubuntu/ artful-updates universe  
# deb-src http://de.archive.ubuntu.com/ubuntu/ artful-updates universe  
  
## N.B. Software aus diesem Repository wird VOLLSTÄNDIG VON DEM Ubuntu  
## Team UNTERSTÜTZT und könnte nicht unter einer freien Lizenz stehen. Bitte  
## überzeugen Sie sich selbst von Ihren Rechten zur Nutzung der Software.  
## Bitte beachten Sie auch, dass Software im Multiverse KEINE  
## Überprüfung oder Updates vom Ubuntu-Sicherheitsteam erhält.  
deb http://de.archive.ubuntu.com/ubuntu/ artful multiverse  
# deb-src http://de.archive.ubuntu.com/ubuntu/ artful multiverse  
deb http://de.archive.ubuntu.com/ubuntu/ artful-updates multiverse  
# deb-src http://de.archive.ubuntu.com/ubuntu/ artful-updates multiverse  
  
## N.B. Software aus diesem Repository wurde möglicherweise nicht so  
## umfassend getestet wie die in der Hauptversion enthaltene, obwohl sie  
## neuere Versionen einiger Anwendungen enthält, die nützliche Funktionen  
## bieten können.  
## Bitte beachten Sie auch, dass Software in Backports KEINE Überprüfung  
## oder Updates vom Ubuntu-Sicherheitsteam erhält.  
deb http://de.archive.ubuntu.com/ubuntu/ artful-backports main restricted universe multiverse  
# deb-src http://de.archive.ubuntu.com/ubuntu/ artful-backports main restricted universe multiverse  
  
## Kommentieren Sie die folgenden beiden Zeilen aus, um Software aus Canonicals  
## 'Partner'-Repository hinzuzufügen.  
## Diese Software ist kein Teil von Ubuntu, sondern wird von Canonical und den  
## jeweiligen Anbietern als Dienst für Ubuntu-Benutzer angeboten.  
# deb http://archive.canonical.com/ubuntu artful partner  
# deb-src http://archive.canonical.com/ubuntu artful partner  
  
deb http://security.ubuntu.com/ubuntu artful-security main restricted  
# deb-src http://security.ubuntu.com/ubuntu artful-security main restricted  
deb http://security.ubuntu.com/ubuntu artful-security universe  
# deb-src http://security.ubuntu.com/ubuntu artful-security universe  
deb http://security.ubuntu.com/ubuntu artful-security multiverse  
# deb-src http://security.ubuntu.com/ubuntu artful-security multiverse

Führen Sie dann aus

apt-get update

um die apt-Paketdatenbank zu aktualisieren und

apt-get upgrade

um die neuesten Updates zu installieren (falls vorhanden). Wenn Sie sehen, dass ein neuer Kernel als Teil der Updates installiert wird, sollten Sie das System danach neu starten:

reboot

3. Ändern Sie die Standard-Shell

/bin/sh ist ein Symlink zu /bin/dash, wir benötigen jedoch /bin/bash, nicht /bin/dash. Daher tun wir dies:

dpkg-reconfigure dash

Verwenden Sie dash als die Standard-System-Shell (/bin/sh)? <– Nein

Wenn Sie dies nicht tun, schlägt die ISPConfig-Installation fehl.

4. Deaktivieren Sie AppArmor

AppArmor ist eine Sicherheits-Erweiterung (ähnlich wie SELinux), die erweiterte Sicherheit bieten soll. Meiner Meinung nach benötigen Sie es nicht, um ein sicheres System zu konfigurieren, und es verursacht normalerweise mehr Probleme als Vorteile (denken Sie daran, nachdem Sie eine Woche lang Fehlerbehebung betrieben haben, weil ein Dienst nicht wie erwartet funktionierte, und dann herausfinden, dass alles in Ordnung war, nur AppArmor das Problem verursachte). Daher deaktiviere ich es (das ist ein Muss, wenn Sie später ISPConfig installieren möchten).

Wir können es so deaktivieren:

service apparmor stop  
update-rc.d -f apparmor remove   
apt-get remove apparmor apparmor-utils

5. Synchronisieren Sie die Systemuhr

Es ist eine gute Idee, die Systemuhr mit einem NTP ( n etwork t ime p rotokoll) Server über das Internet zu synchronisieren, wenn Sie einen physischen Server betreiben. Falls Sie einen virtuellen Server betreiben, sollten Sie diesen Schritt überspringen. Führen Sie einfach aus

apt-get -y install ntp

und Ihre Systemzeit wird immer synchronisiert sein.

6. Installieren Sie Postfix, Dovecot, MariaDB, rkhunter und binutils

Um Postfix zu installieren, müssen wir sicherstellen, dass sendmail nicht installiert und aktiv ist. Um sendmail zu stoppen und zu entfernen, führen Sie diesen Befehl aus:

service sendmail stop; update-rc.d -f sendmail remove

Die Fehlermeldung:

Failed to stop sendmail.service: Unit sendmail.service not loaded.

ist in Ordnung, es bedeutet nur, dass sendmail nicht installiert war, sodass es nichts zu entfernen gab.

Jetzt können wir Postfix, Dovecot, MariaDB (als MySQL-Ersatz), rkhunter und binutils mit einem einzigen Befehl installieren:

apt-get -y install postfix postfix-mysql postfix-doc mariadb-client mariadb-server openssl getmail4 rkhunter binutils dovecot-imapd dovecot-pop3d dovecot-mysql dovecot-sieve dovecot-lmtpd sudo

Sie werden nach den folgenden Fragen gefragt:

Allgemeiner Typ der Mailkonfiguration: <-- Internet Site  
System-Mail-Name: <-- server1.example.com

Es ist wichtig, dass Sie einen Subdomainnamen als “System-Mail-Name” wie server1.example.com oder server1.ihredomain.com verwenden und nicht eine Domain, die Sie später als E-Mail-Domain verwenden möchten (z.B. ihredomain.tld).

Öffnen Sie als Nächstes die TLS/SSL- und Abgabeports in Postfix:

nano /etc/postfix/master.cf

Kommentieren Sie die Abschnitte für die Abgabe und smtps wie folgt aus - fügen Sie die Zeile -o smtpd_client_restrictions=permit_sasl_authenticated,reject zu beiden Abschnitten hinzu und lassen Sie alles danach kommentiert:

[...]  
submission inet n       -       -       -       -       smtpd  
  -o syslog_name=postfix/submission  
  -o smtpd_tls_security_level=encrypt  
  -o smtpd_sasl_auth_enable=yes  
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject  
#  -o smtpd_reject_unlisted_recipient=no  
#  -o smtpd_client_restrictions=$mua_client_restrictions  
#  -o smtpd_helo_restrictions=$mua_helo_restrictions  
#  -o smtpd_sender_restrictions=$mua_sender_restrictions  
#  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject  
#  -o milter_macro_daemon_name=ORIGINATING  
smtps     inet  n       -       -       -       -       smtpd  
  -o syslog_name=postfix/smtps  
  -o smtpd_tls_wrappermode=yes  
  -o smtpd_sasl_auth_enable=yes  
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject  
#  -o smtpd_reject_unlisted_recipient=no  
#  -o smtpd_client_restrictions=$mua_client_restrictions  
#  -o smtpd_helo_restrictions=$mua_helo_restrictions  
#  -o smtpd_sender_restrictions=$mua_sender_restrictions  
#  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject  
#  -o milter_macro_daemon_name=ORIGINATING  
[...]

HINWEIS: Die Leerzeichen vor den “-o …. “-Zeilen sind wichtig!

Starten Sie Postfix danach neu:

service postfix restart

Wir möchten, dass MySQL auf allen Schnittstellen hört, nicht nur auf localhost. Daher bearbeiten wir /etc/mysql/mariadb.conf.d/50-server.cnf und kommentieren die Zeile bind-address = 127.0.0.1 aus und fügen die Zeile sql-mode=”NO_ENGINE_SUBSTITUTION” hinzu:

nano /etc/mysql/mariadb.conf.d/50-server.cnf

[...]  
# Anstelle von skip-networking ist die Standardeinstellung jetzt, nur auf  
# localhost zu hören, was kompatibler ist und nicht weniger sicher.  
#bind-address           = 127.0.0.1  
  
sql-mode="NO_ENGINE_SUBSTITUTION"  
  
[...]

Jetzt setzen wir ein Root-Passwort in MariaDB. Führen Sie aus:

mysql_secure_installation

Sie werden nach diesen Fragen gefragt:

Geben Sie das aktuelle Passwort für root ein (drücken Sie Enter für keines): <-- drücken Sie Enter  
Root-Passwort festlegen? [Y/n] <-- y  
Neues Passwort: <-- Geben Sie hier das neue MariaDB-Root-Passwort ein  
Neues Passwort erneut eingeben: <-- Wiederholen Sie das Passwort  
Anonyme Benutzer entfernen? [Y/n] <-- y  
Root-Login aus der Ferne verbieten? [Y/n] <-- y  
Privilegientabellen jetzt neu laden? [Y/n] <-- y

Setzen Sie die Passwortauthentifizierungsmethode in MariaDB auf native, damit wir später PHPMyAdmin verwenden können, um uns als Root-Benutzer zu verbinden:

echo "update mysql.user set plugin = 'mysql_native_password' where user='root';" | mysql -u root

Bearbeiten Sie die Datei /etc/mysql/debian.cnf und setzen Sie das MYSQL / MariaDB Root-Passwort dort zweimal in die Zeilen, die mit password beginnen.

nano /etc/mysql/debian.cnf

Das MySQL-Root-Passwort, das hinzugefügt werden muss, wird hier in lesbarer Form angezeigt, in diesem Beispiel ist das Passwort “howtoforge”.

# Automatisch für Debian-Skripte generiert. NICHT ANFASSEN!  
[client]  
host = localhost  
user = root  
password = howtoforge  
socket = /var/run/mysqld/mysqld.sock  
[mysql_upgrade]  
host = localhost  
user = root  
password = howtoforge  
socket = /var/run/mysqld/mysqld.sock  
basedir = /usr

Dann starten wir MariaDB neu:

service mysql restart

Überprüfen Sie jetzt, ob das Networking aktiviert ist. Führen Sie aus

netstat -tap | grep mysql

Die Ausgabe sollte so aussehen:

root@server1:~# netstat -tap | grep mysql  
tcp6 0 0 [::]:mysql [::]:* LISTEN 30591/mysqld  
root@server1:~#

7. Installieren Sie Amavisd-new, SpamAssassin und Clamav

Um amavisd-new, SpamAssassin und ClamAV zu installieren, führen wir aus

apt-get -y install amavisd-new spamassassin clamav clamav-daemon zoo unzip bzip2 arj nomarch lzop cabextract apt-listchanges libnet-ldap-perl libauthen-sasl-perl clamav-docs daemon libio-string-perl libio-socket-ssl-perl libnet-ident-perl zip libnet-dns-perl postgrey

Das ISPConfig 3-Setup verwendet amavisd, das die SpamAssassin-Filterbibliothek intern lädt, sodass wir SpamAssassin stoppen können, um etwas RAM freizugeben:

service spamassassin stop  
update-rc.d -f spamassassin remove

Um ClamAV zu starten, verwenden Sie:

freshclam  
service clamav-daemon start

Der folgende Fehler kann beim ersten Ausführen von freshclam ignoriert werden.

ERROR: /var/log/clamav/freshclam.log is locked by another process  
ERROR: Problem with internal logger (UpdateLogFile = /var/log/clamav/freshclam.log).

7.1 Installieren Sie den Metronome XMPP-Server (optional)

Der Metronome XMPP-Server bietet einen XMPP-Chat-Server. Dieser Schritt ist optional, wenn Sie keinen Chat-Server benötigen, können Sie diesen Schritt überspringen. Keine anderen ISPConfig-Funktionen hängen von dieser Software ab.

Installieren Sie die folgenden Pakete mit apt.

apt-get -y install git lua5.1 liblua5.1-0-dev lua-filesystem libidn11-dev libssl-dev lua-zlib lua-expat lua-event lua-bitop lua-socket lua-sec luarocks luarocks

luarocks install lpc

Fügen Sie einen Shell-Benutzer für Metronome hinzu.

adduser --no-create-home --disabled-login --gecos 'Metronome' metronome

Laden Sie Metronome in das Verzeichnis /opt herunter und kompilieren Sie es.

cd /opt; git clone https://github.com/maranda/metronome.git metronome  
cd ./metronome; ./configure --ostype=debian --prefix=/usr  
make  
make install

Metronome wurde jetzt in /opt/metronome installiert.