Debian 12에 LEMP 스택(Nginx, PHP 및 MariaDB) 설치하는 방법

$ sudo ufw status

상태: 활성

허용된 액션
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
OpenSSH (v6)               ALLOW       Anywhere (v6)

$ sudo ufw allow http
$ sudo ufw allow https

$ sudo ufw status
상태: 활성

허용된 액션
--                         ------      ----
OpenSSH                    ALLOW       Anywhere
80/tcp                     ALLOW       Anywhere
443/tcp                    ALLOW       Anywhere
OpenSSH (v6)               ALLOW       Anywhere (v6)
80/tcp (v6)                ALLOW       Anywhere (v6)
443/tcp (v6)               ALLOW       Anywhere (v6)

$ sudo apt install php-fpm php-cli php-mysql php-mbstring php-xml php-gd

$ sudo curl -sSLo /usr/share/keyrings/deb.sury.org-php.gpg https://packages.sury.org/php/apt.gpg

$ sudo sh -c 'echo "deb [signed-by=/usr/share/keyrings/deb.sury.org-php.gpg] https://packages.sury.org/php/ $(lsb_release -sc) main" > /etc/apt/sources.list.d/php.list'

$ sudo apt update   

$ sudo apt install php8.1-fpm php8.1-cli

$ php --version
PHP 8.2.7 (cli) (built: Jun  9 2023 19:37:27) (NTS)
Copyright (c) The PHP Group
Zend Engine v4.2.7, Copyright (c) Zend Technologies
    with Zend OPcache v8.2.7, Copyright (c), by Zend Technologies

$ sudo apt install mariadb-server

$ mysql --version
mysql  Ver 15.1 Distrib 10.11.3-MariaDB, for debian-linux-gnu (x86_64) using  EditLine wrapper

$ sudo mysql_secure_installation

NOTE: RUNNING ALL PARTS OF THIS SCRIPT IS RECOMMENDED FOR ALL MariaDB
      SERVERS IN PRODUCTION USE!  PLEASE READ EACH STEP CAREFULLY!

MariaDB에 로그인하여 보안을 설정하려면 현재 루트 사용자에 대한 비밀번호가 필요합니다. MariaDB를 방금 설치했으며 루트 비밀번호를 아직 설정하지 않았다면 여기서 그냥 Enter를 누르십시오.

현재 루트 비밀번호를 입력하십시오(없으면 Enter):

OK, 성공적으로 비밀번호를 사용했습니다. 계속 진행합니다...

루트 비밀번호를 설정하거나 unix_socket을 사용하면 적절한 권한 없이 누구도 MariaDB 루트 사용자로 로그인할 수 없도록 보장합니다.

이미 루트 계정이 보호되어 있으므로 안전하게 'n'이라고 대답할 수 있습니다.

unix_socket 인증으로 전환 [Y/n] n

 ... 건너뜁니다.

이미 루트 계정이 보호되어 있으므로 안전하게 'n'이라고 대답할 수 있습니다.

루트 비밀번호를 변경하시겠습니까? [Y/n] n

 ... 건너뜁니다.

기본적으로 MariaDB 설치에는 익명 사용자가 있어 누구나 사용자 계정을 생성하지 않고도 MariaDB에 로그인할 수 있습니다. 이는 테스트 용도로만 사용되며 설치를 조금 더 원활하게 진행하기 위한 것입니다. 프로덕션 환경으로 이동하기 전에 제거해야 합니다.

익명 사용자를 제거하시겠습니까? [Y/n] y
 ... 성공!

일반적으로 루트는 'localhost'에서만 연결할 수 있어야 합니다. 이는 누군가가 네트워크에서 루트 비밀번호를 추측할 수 없도록 보장합니다.

원격으로 루트 로그인을 금지하시겠습니까? [Y/n] y
 ... 성공!

기본적으로 MariaDB에는 누구나 접근할 수 있는 'test'라는 데이터베이스가 있습니다. 이는 테스트 용도로만 사용되며 프로덕션 환경으로 이동하기 전에 제거해야 합니다.

테스트 데이터베이스 및 접근 권한을 제거하시겠습니까? [Y/n] y
 - 테스트 데이터베이스 삭제...
 ... 성공!
 - 테스트 데이터베이스에 대한 권한 제거...
 ... 성공!

권한 테이블을 다시 로드하면 지금까지 수행한 모든 변경 사항이 즉시 적용됩니다.

권한 테이블을 지금 다시 로드하시겠습니까? [Y/n] y
 ... 성공!

정리 중...

모든 작업이 완료되었습니다! 위의 모든 단계를 완료했다면 MariaDB 설치가 이제 안전해야 합니다.

MariaDB를 사용해 주셔서 감사합니다!

$ sudo mysql

MariaDB> CREATE DATABASE exampledb;

MariaDB> CREATE USER 'exampleuser'@'localhost' IDENTIFIED BY 'YourPassword2!';

MariaDB> GRANT ALL PRIVILEGES ON exampledb.* TO 'exampleuser'@'localhost';

MariaDB> GRANT ALL ON *.* TO 'navjot'@'localhost' IDENTIFIED BY 'Yourpassword32!' WITH GRANT OPTION;

MariaDB> FLUSH PRIVILEGES;

MariaDB> exit

$ sudo mysql -u exampleuser -p

MariaDB> CREATE TABLE exampledb.name_list ( sno INT AUTO_INCREMENT, content VARCHAR(255), PRIMARY KEY(sno) );

MariaDB> INSERT INTO exampledb.name_list (content) VALUES ("Navjot");

MariaDB> SELECT * FROM exampledb.name_list;

+-----+---------+
| sno | content |
+-----+---------+
|   1 | Navjot  |
|   2 | Adam    |
|   3 | Josh    |
|   4 | Peter   |
+-----+---------+
4 rows in set (0.00 sec)

MariaDB> exit

$ curl https://nginx.org/keys/nginx_signing.key | gpg --dearmor \
    | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null

$ echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] \
http://nginx.org/packages/debian `lsb_release -cs` nginx" \
    | sudo tee /etc/apt/sources.list.d/nginx.list

$ sudo apt update

$ sudo apt install nginx

$ sudo nginx -v
nginx version: nginx/1.24.0

$ sudo systemctl start nginx

$ sudo systemctl status nginx
? nginx.service - nginx - 고성능 웹 서버
     Loaded: loaded (/lib/systemd/system/nginx.service; enabled; preset: enabled)
     Active: active (running) since Thu 2023-06-15 16:33:46 UTC; 1s ago
       Docs: https://nginx.org/en/docs/
    Process: 2257 ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf (code=exited, status=0/SUCCESS)
   Main PID: 2258 (nginx)
      Tasks: 2 (limit: 1108)
     Memory: 1.8M
        CPU: 6ms
     CGroup: /system.slice/nginx.service
             ??2258 "nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf"
             ??2259 "nginx: worker process"

$ sudo nano /etc/php/8.2/fpm/php.ini

upload_max_filesize = 50M
...
post_max_size = 50M

memory_limit = 256M

$ sudo sed -i 's/post_max_size = 8M/post_max_size = 50M/' /etc/php/8.2/fpm/php.ini
$ sudo sed -i 's/upload_max_filesize = 2M/upload_max_filesize = 50M/' /etc/php/8.2/fpm/php.ini
$ sudo sed -i 's/memory_limit = 128M/memory_limit = 256M/' /etc/php/8.2/fpm/php.ini

$ sudo nano /etc/php/8.2/fpm/pool.d/www.conf

...
; 프로세스의 Unix 사용자/그룹
; 참고: 사용자는 필수입니다. 그룹이 설정되지 않으면 기본 사용자의 그룹이 사용됩니다.
;       사용자가 설정되지 않으면 기본 사용자의 그룹이 사용됩니다.
user = nginx
group = nginx
...

listen.owner = nginx
listen.group = nginx

$ sudo systemctl restart php8.2-fpm

$ wget https://files.phpmyadmin.net/phpMyAdmin/5.2.1/phpMyAdmin-5.2.1-english.tar.gz

$ sudo mkdir /var/www/html/example.com -p

$ sudo tar -xzf phpMyAdmin-5.2.1-english.tar.gz -C /var/www/html/example.com

$ cd /var/www/html/example.com

$ sudo mv phpMyAdmin-5.2.1-english sm175

$ sudo cp sm175/config.sample.inc.php sm175/config.inc.php

$ sudo nano sm175/config.inc.php

$cfg['blowfish_secret'] = 'Tc/HfLPBOAPxJ-rhQP}HJoZEK69c3j:m';

$ sudo chown -R nginx:nginx /var/www/html/example.com

$ sudo rm -rf /var/www/html/example.com/sm175/setup

$ php --version
PHP 8.2.7 (cli) (built: Jun  9 2023 19:37:27) (NTS)
Copyright (c) The PHP Group
Zend Engine v4.2.7, Copyright (c) Zend Technologies
    with Zend OPcache v8.2.7, Copyright (c), by Zend Technologies

$ sudo apt install php-opcache

$ sudo nano /etc/php/8.2/fpm/conf.d/10-opcache.ini

opcache.enable_cli=1
opcache.memory_consumption=128
opcache.interned_strings_buffer=8
opcache.max_accelerated_files=4000
opcache.revalidate_freq=60

$ sudo systemctl restart php8.2-fpm

$ sudo apt install snapd

$ sudo snap install core
$ sudo snap refresh core

$ sudo snap install --classic certbot

$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

$ certbot --version
certbot 2.6.0

$ sudo nano /var/www/html/example.com/index.php

회원 목록
"; 
    foreach($db->query("SELECT content FROM $table") as $row) {
        echo "
" . $row['content'] . "
";
    }
    echo "
";
}   catch (PDOException $e) {
    print "오류!: " . $e->getMessage() . "
";
    die();
}

$ sudo certbot certonly --nginx --agree-tos --no-eff-email --staple-ocsp --preferred-challenges http -m [email protected] -d example.com

$ sudo openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096

$ sudo systemctl list-timers

NEXT                        LEFT          LAST                        PASSED        UNIT                      ACTIVATES
.....
Sun 2023-02-26 06:32:00 UTC 9h left       Sat 2023-02-25 18:04:05 UTC 2h 59min ago  snap.certbot.renew.timer  snap.certbot.renew.service
Sun 2023-02-26 06:43:20 UTC 9h left       Sat 2023-02-25 10:49:23 UTC 10h ago       apt-daily-upgrade.timer   apt-daily-upgrade.service
Sun 2023-02-26 09:00:06 UTC 11h left      Sat 2023-02-25 20:58:06 UTC 5min ago      apt-daily.timer           apt-daily.service

$ sudo certbot renew --dry-run

$ sudo nano /etc/nginx/conf.d/example.conf

server {
    listen       443 ssl http2;
    listen       [::]:443 ssl http2;
    server_name  example.com;

    access_log  /var/log/nginx/example.com.access.log;
    error_log   /var/log/nginx/example.com.error.log;

    ssl_certificate      /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key  /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;

    ssl_session_timeout  5m;
    ssl_session_cache shared:MozSSL:10m;
    ssl_session_tickets off;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
    ssl_ecdh_curve X25519:prime256v1:secp384r1:secp521r1;
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_dhparam /etc/ssl/certs/dhparam.pem;

    root /var/www/html/example.com;

    index index.php index.html;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    # PHP 스크립트를 FastCGI 서버로 전달
    location ~ \.php$ {
        fastcgi_split_path_info ^(.+\.php)(/.+)$;
        fastcgi_pass unix:/run/php/php8.2-fpm.sock; # PHP 버전 의존
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
    }

    location ~ /\.(?!well-known).* {
        deny all;
    }
}

# HTTPS 강제
server {
    listen       80;
    listen       [::]:80;
    server_name  example.com;
    return 301   https://$host$request_uri;
}

$ sudo nano /etc/nginx/nginx.conf

server_names_hash_bucket_size  64;

$ sudo nginx -t

$ sudo systemctl start nginx