Étendre Perfect Server - Debian Squeeze [ISPConfig 3]

Version 1.0
Auteur : Thomas ( http://iopen.gr)
Dernière modification 2012-02-05 (05 février 2012)

Le tutoriel suivant étendra le “Perfect Server…. “ pour ISPConfig 3 avec BIND & Courier installés sur Debian Squeeze. Il explique comment changer les ports par défaut (ssh, ispconfig, webmin), comment installer certaines applications utiles (webmin, roundcube, atop, htop, multitail, tiger, etc.), comment mettre à jour awstats périodiquement (plus d’une fois par jour) ou quand vous le souhaitez, comment créer des sauvegardes de données clients (périodiquement) accessibles sous leur dossier et enfin, il explique comment optimiser votre système pour la performance (mysqltuner, tuning-primer) ou la sécurité (règles de pare-feu personnalisées, (D)Dos Deflate, fail2ban modifié).

Ce tutoriel fonctionne pour moi, j’ai corrigé les erreurs mentionnées dans les commentaires mais je ne peux pas garantir qu’il fonctionnera pour vous.

En particulier, ce tutoriel explique comment :

installer Webmin et changer son port à 50000
changer le port par défaut pour ISPConfig de 8080 à 50443
installer Roundcube afin que tous les utilisateurs puissent y accéder via SSL (port 50443 – comme ISPConfig) sous /webmail
étendre fail2ban (pour webmin, roundcube, ssh) et appliquer un petit patch
installer multitail et utiliser une commande simple pour voir tous les journaux utiles
changer le port 22 pour SSH à 50022
accéder à phpmyadmin via SSL (port 50443 – comme ISPConfig) sous une URL différente de celle par défaut (par exemple /mydomaindb)
installer certaines applications/extensions utiles sur votre serveur (htop, php-apc, iptraf, logwatch, etc.)
mettre à jour awstats manuellement ou automatiquement quand vous le souhaitez
améliorer les paramètres mysql en utilisant des scripts comme mysqltuner ou tuning-primer qui suggèrent quels paramètres ajuster dans votre installation mysql
sécuriser votre système (étapes simples), en bloquant des IP ou des réseaux spécifiques –insistants–, ou/et en utilisant des règles personnalisées pour protéger votre serveur contre des attaques ddos simples, en compagnie de (D)Dos Deflate.
créer une sauvegarde quotidienne des dossiers web des clients et de leurs bases de données dans leurs dossiers, afin qu’ils puissent les télécharger

Pour suivre ce tutoriel, vous devez lire et appliquer ce qui suit :

Le Perfect Server - Debian Squeeze (Debian 6.0) Avec BIND & Courier [ISPConfig 3]

Si vous souhaitez accéder au panneau ISPconfig et à webmail via SSL, je suppose également que vous avez suivi le chapitre 6.2 Activer SSL pour l’interface Web ISPConfig du manuel ISPConfig 3 ou ce post (Ceci est seulement nécessaire si vous souhaitez accéder au panneau de contrôle ET à l’interface webmail via ssl sur le port 8080).

Une note ici : Pour ne pas avoir de problèmes après une mise à jour future, faites :

cp /etc/apache2/ssl/ispserver.crt /usr/local/ispconfig/interface/ssl/ispserver.crt
cp /etc/apache2/ssl/ispserver.key /usr/local/ispconfig/interface/ssl/ispserver.key

et éditez /etc/apache2/sites-enabled/000-ispconfig.vhost, en supprimant les lignes que vous avez collées suivant le manuel, et en décommentant les lignes par défaut pour SSL.

nano /etc/apache2/sites-enabled/000-ispconfig.vhost

Le contenu doit ressembler à :

[...]  
  # Configuration SSL  
  SSLEngine On  
  SSLCertificateFile /usr/local/ispconfig/interface/ssl/ispserver.crt  
  SSLCertificateKeyFile /usr/local/ispconfig/interface/ssl/ispserver.key  
[...]

Si vous avez suivi ce qui précède, alors je suppose enfin que vous avez lu la solution de contournement concernant suExec et ISPConfig 3 dans ce post.

Ce comment faire est une version (majeure) mise à jour de Easy RoundCube (Over SSL) Et Webmin Avec fail2ban Pour ISPConfig 3 Sur Debian Squeeze avec beaucoup plus d’ajouts.

Avant de continuer, assurez-vous que votre serveur fonctionne et que vous en êtes satisfait. Si vous suivez ce tutoriel, vous ferez beaucoup de changements, et cela (de lui-même) nécessite beaucoup de débogage en cas d’erreurs !

1. WEBMIN

Veuillez garder à l’esprit que si vous installez webmin, vous DEVEZ être très prudent en l’utilisant. Vous ne devez pas utiliser webmin pour modifier les paramètres des parties critiques d’ISPConfig (apache, postfix, imap, pop3, dns). Utilisez-le uniquement en cas d’urgence ou lorsque vous devez faire des choses qui N’INTERFÈRENT PAS avec ISPConfig (par exemple, pare-feu, scripts de démarrage, cron, etc.)

Pour installer webmin, nous devons d’abord installer quelques dépendances :

apt-get install libapt-pkg-perl libauthen-pam-perl libio-pty-perl apt-show-versions

Téléchargez la dernière version de webmin depuis http://www.webmin.com/download.html :

cd /tmp
wget http://prdownloads.sourceforge.net/webadmin/webmin_1.530_all.deb

et installez-le :

dpkg -i webmin_1.530_all.deb

Avant de changer un port à autre chose que le par défaut, N’OUBLIEZ PAS d’ajouter le port à votre pare-feu. Si vous utilisez les valeurs par défaut d’ISPConfig, allez dans Système -> Pare-feu et ajoutez le port que vous souhaitez (Dans ce manuel, nous utiliserons 50000 pour Webmin, 50443 pour ISPConfig, 50022 pour ssh). Enregistrez et NE SUPPRIMEZ PAS les anciens ports (8080, 10000, 22) jusqu’à ce que vous soyez absolument sûr que les nouveaux ports fonctionnent.

Pour changer le port par défaut de webmin, éditez le fichier /etc/webmin/miniserv.conf :

nano /etc/webmin/miniserv.conf

et changez Port=10000 et listen=10000 en Port=50000 et listen=50000. Redémarrez webmin :

/etc/init.d/webmin restart

Visitez https://www.example.com:50000 pour installer des mises à jour via l’interface webmin. Vous devrez accepter l’avertissement de sécurité, car le certificat de webmin est signé de manière personnalisée.

2. Définir un port différent pour le panneau de contrôle ISPConfig

Pour changer le port par défaut du panneau de contrôle ISPConfig (8080), à un autre (par exemple 50443) :

nano /etc/apache2/sites-enabled/000-ispconfig.vhost

et assurez-vous que toutes les références à 8080 sont changées en 50443. Le mien ressemble à ceci (SEULEMENT les premières lignes sont affichées) :

[...]  
Listen 50443  
NameVirtualHost *:50443  
  
  
[...]

Redémarrez apache et accédez au panneau de contrôle à https://www.example.com:50443 :

/etc/init.d/apache2 restart