Как установить стек LEMP (Nginx, PHP и MariaDB) на Debian 12

$ sudo ufw status

Статус: активен

Кому                       Действие      Откуда
--                         ------      ----
OpenSSH                    ALLOW       Везде
OpenSSH (v6)               ALLOW       Везде (v6)

$ sudo ufw allow http
$ sudo ufw allow https

$ sudo ufw status
Статус: активен

Кому                       Действие      Откуда
--                         ------      ----
OpenSSH                    ALLOW       Везде
80/tcp                     ALLOW       Везде
443/tcp                    ALLOW       Везде
OpenSSH (v6)               ALLOW       Везде (v6)
80/tcp (v6)                ALLOW       Везде (v6)
443/tcp (v6)               ALLOW       Везде (v6)

$ sudo apt install php-fpm php-cli php-mysql php-mbstring php-xml php-gd

$ sudo curl -sSLo /usr/share/keyrings/deb.sury.org-php.gpg https://packages.sury.org/php/apt.gpg

$ sudo sh -c 'echo "deb [signed-by=/usr/share/keyrings/deb.sury.org-php.gpg] https://packages.sury.org/php/ $(lsb_release -sc) main" > /etc/apt/sources.list.d/php.list'

$ sudo apt update   

$ sudo apt install php8.1-fpm php8.1-cli

$ php --version
PHP 8.2.7 (cli) (собран: 9 июня 2023 г. 19:37:27) (NTS)
Copyright (c) Группа PHP
Zend Engine v4.2.7, Copyright (c) Технологии Zend
    с Zend OPcache v8.2.7, Copyright (c), Технологии Zend

$ sudo apt install mariadb-server

$ mysql --version
mysql  Вер 15.1 Distrib 10.11.3-MariaDB, для debian-linux-gnu (x86_64) с использованием  EditLine wrapper

$ sudo mysql_secure_installation

ПРИМЕЧАНИЕ: РЕКОМЕНДУЕТСЯ ЗАПУСКАТЬ ВСЕ ЧАСТИ ЭТОГО СКРИПТА ДЛЯ ВСЕХ СЕРВЕРОВ MariaDB
      В ПРОИЗВОДСТВЕ!  ПОЖАЛУЙСТА, ВНИМАТЕЛЬНО ПРОЧИТАЙТЕ КАЖДЫЙ ШАГ!

Чтобы войти в MariaDB и обеспечить ее безопасность, нам нужен текущий
пароль для пользователя root. Если вы только что установили MariaDB и
еще не установили пароль root, вам просто нужно нажать Enter здесь.

Введите текущий пароль для root (нажмите Enter для отсутствия):

Хорошо, успешно использован пароль, продолжаем...

Установка пароля root или использование unix_socket гарантирует, что никто
не сможет войти в учетную запись root MariaDB без надлежащей авторизации.

У вас уже есть защищенная учетная запись root, поэтому вы можете безопасно ответить 'n'.

Переключиться на аутентификацию unix_socket [Y/n] n

 ... пропуск.

У вас уже есть защищенная учетная запись root, поэтому вы можете безопасно ответить 'n'.

Изменить пароль root? [Y/n] n

 ... пропуск.

По умолчанию установка MariaDB имеет анонимного пользователя, позволяя любому
войти в MariaDB, не имея учетной записи пользователя.
Это предназначено только для тестирования и для того, чтобы установка
проходила немного легче. Вы должны удалить их перед переходом в
производственную среду.

Удалить анонимных пользователей? [Y/n] y
 ... Успех!

Обычно root должен иметь возможность подключаться только с 'localhost'. Это
гарантирует, что кто-то не сможет угадать пароль root из сети.

Запретить удаленный вход root? [Y/n] y
 ... Успех!

По умолчанию MariaDB поставляется с базой данных с именем 'test', к которой любой может
получить доступ. Это также предназначено только для тестирования и должно быть удалено
перед переходом в производственную среду.

Удалить тестовую базу данных и доступ к ней? [Y/n] y
 - Удаление тестовой базы данных...
 ... Успех!
 - Удаление привилегий на тестовую базу данных...
 ... Успех!

Перезагрузка таблиц привилегий обеспечит, что все изменения, сделанные до сих пор,
вступят в силу немедленно.

Перезагрузить таблицы привилегий сейчас? [Y/n] y
 ... Успех!

Очистка...

Все готово! Если вы завершили все вышеперечисленные шаги, ваша установка MariaDB
должна быть теперь безопасной.

Спасибо за использование MariaDB!

$ sudo mysql

MariaDB> CREATE DATABASE exampledb;

MariaDB> CREATE USER 'exampleuser'@'localhost' IDENTIFIED BY 'YourPassword2!';

MariaDB> GRANT ALL PRIVILEGES ON exampledb.* TO 'exampleuser'@'localhost';

MariaDB> GRANT ALL ON *.* TO 'navjot'@'localhost' IDENTIFIED BY 'Yourpassword32!' WITH GRANT OPTION;

MariaDB> FLUSH PRIVILEGES;

MariaDB> exit

$ sudo mysql -u exampleuser -p

MariaDB> CREATE TABLE exampledb.name_list ( sno INT AUTO_INCREMENT, content VARCHAR(255), PRIMARY KEY(sno) );

MariaDB> INSERT INTO exampledb.name_list (content) VALUES ("Navjot");

MariaDB> SELECT * FROM exampledb.name_list;

+-----+---------+
| sno | content |
+-----+---------+
|   1 | Navjot  |
|   2 | Adam    |
|   3 | Josh    |
|   4 | Peter   |
+-----+---------+
4 строки в наборе (0.00 сек)

MariaDB> exit

$ curl https://nginx.org/keys/nginx_signing.key | gpg --dearmor \
    | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null

$ echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] \
http://nginx.org/packages/debian `lsb_release -cs` nginx" \
    | sudo tee /etc/apt/sources.list.d/nginx.list

$ sudo apt update

$ sudo apt install nginx

$ sudo nginx -v
nginx version: nginx/1.24.0

$ sudo systemctl start nginx

$ sudo systemctl status nginx
? nginx.service - nginx - высокопроизводительный веб-сервер
     Загружено: загружено (/lib/systemd/system/nginx.service; включено; предустановлено: включено)
     Активно: активно (работает) с Чт 2023-06-15 16:33:46 UTC; 1с назад
       Документы: https://nginx.org/en/docs/
    Процесс: 2257 ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf (код=вышел, статус=0/УСПЕХ)
   Основной PID: 2258 (nginx)
      Задачи: 2 (лимит: 1108)
     Память: 1.8M
        CPU: 6ms
     CGroup: /system.slice/nginx.service
             ??2258 "nginx: основной процесс /usr/sbin/nginx -c /etc/nginx/nginx.conf"
             ??2259 "nginx: рабочий процесс"

$ sudo nano /etc/php/8.2/fpm/php.ini

upload_max_filesize = 50M
...
post_max_size = 50M

memory_limit = 256M

$ sudo sed -i 's/post_max_size = 8M/post_max_size = 50M/' /etc/php/8.2/fpm/php.ini
$ sudo sed -i 's/upload_max_filesize = 2M/upload_max_filesize = 50M/' /etc/php/8.2/fpm/php.ini
$ sudo sed -i 's/memory_limit = 128M/memory_limit = 256M/' /etc/php/8.2/fpm/php.ini

$ sudo nano /etc/php/8.2/fpm/pool.d/www.conf

...
; Unix пользователь/группа процессов
; Примечание: Пользователь обязателен. Если группа не установлена, будет использована группа по умолчанию.
;       будет использована.
user = nginx
group = nginx
...

listen.owner = nginx
listen.group = nginx

$ sudo systemctl restart php8.2-fpm

$ wget https://files.phpmyadmin.net/phpMyAdmin/5.2.1/phpMyAdmin-5.2.1-english.tar.gz

$ sudo mkdir /var/www/html/example.com -p

$ sudo tar -xzf phpMyAdmin-5.2.1-english.tar.gz -C /var/www/html/example.com

$ cd /var/www/html/example.com

$ sudo mv phpMyAdmin-5.2.1-english sm175

$ sudo cp sm175/config.sample.inc.php sm175/config.inc.php

$ sudo nano sm175/config.inc.php

$cfg['blowfish_secret'] = 'Tc/HfLPBOAPxJ-rhQP}HJoZEK69c3j:m';

$ sudo chown -R nginx:nginx /var/www/html/example.com

$ sudo rm -rf /var/www/html/example.com/sm175/setup

$ php --version
PHP 8.2.7 (cli) (собран: 9 июня 2023 г. 19:37:27) (NTS)
Copyright (c) Группа PHP
Zend Engine v4.2.7, Copyright (c) Технологии Zend
    с Zend OPcache v8.2.7, Copyright (c), Технологии Zend

$ sudo apt install php-opcache

$ sudo nano /etc/php/8.2/fpm/conf.d/10-opcache.ini

opcache.enable_cli=1
opcache.memory_consumption=128
opcache.interned_strings_buffer=8
opcache.max_accelerated_files=4000
opcache.revalidate_freq=60

$ sudo systemctl restart php8.2-fpm

$ sudo apt install snapd

$ sudo snap install core
$ sudo snap refresh core

$ sudo snap install --classic certbot

$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

$ certbot --version
certbot 2.6.0

$ sudo nano /var/www/html/example.com/index.php

Список участников
"; 
    foreach($db->query("SELECT content FROM $table") as $row) {
        echo "
" . $row['content'] . "
";
    }
    echo "
";
}   catch (PDOException $e) {
    print "Ошибка!: " . $e->getMessage() . "
";
    die();
}

$ sudo certbot certonly --nginx --agree-tos --no-eff-email --staple-ocsp --preferred-challenges http -m [email protected] -d example.com

$ sudo openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096

$ sudo systemctl list-timers

СЛЕДУЮЩИЙ                    ОСТАЛОСЬ      ПОСЛЕДНИЙ                    ПРОШЛО      ЮНИТ                      АКТИВИРУЕТ
.....
Вс 2023-02-26 06:32:00 UTC 9ч осталось       Сб 2023-02-25 18:04:05 UTC 2ч 59мин назад  snap.certbot.renew.timer  snap.certbot.renew.service
Вс 2023-02-26 06:43:20 UTC 9ч осталось       Сб 2023-02-25 10:49:23 UTC 10ч назад       apt-daily-upgrade.timer   apt-daily-upgrade.service
Вс 2023-02-26 09:00:06 UTC 11ч осталось      Сб 2023-02-25 20:58:06 UTC 5мин назад      apt-daily.timer           apt-daily.service

$ sudo certbot renew --dry-run

$ sudo nano /etc/nginx/conf.d/example.conf

server {
    listen       443 ssl http2;
    listen       [::]:443 ssl http2;
    server_name  example.com;

    access_log  /var/log/nginx/example.com.access.log;
    error_log   /var/log/nginx/example.com.error.log;

    ssl_certificate      /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key  /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;

    ssl_session_timeout  5m;
    ssl_session_cache shared:MozSSL:10m;
    ssl_session_tickets off;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
    ssl_ecdh_curve X25519:prime256v1:secp384r1:secp521r1;
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_dhparam /etc/ssl/certs/dhparam.pem;

    root /var/www/html/example.com;

    index index.php index.html;

    location / {
        try_files $uri $uri/ /index.php?$query_string;
    }

    # Передать PHP-скрипты серверу FastCGI
    location ~ \.php$ {
        fastcgi_split_path_info ^(.+\.php)(/.+)$;
        fastcgi_pass unix:/run/php/php8.2-fpm.sock; #в зависимости от версий PHP
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
    }

    location ~ /\.(?!well-known).* {
        deny all;
    }
}

# принудить HTTPS
server {
    listen       80;
    listen       [::]:80;
    server_name  example.com;
    return 301   https://$host$request_uri;
}

$ sudo nano /etc/nginx/nginx.conf

server_names_hash_bucket_size  64;

$ sudo nginx -t

$ sudo systemctl start nginx