Der perfekte Rootserver (Nginx, SSL, Mailserver, Roundcube, phpMyAdmin, Firewall)

Ares · 12/04/2015, 12:14

Quote:

Originally Posted by Marcow90

Der Übersichtlichkeit halber würde ich vorschlagen, privaten Support in einen separaten Thread auszugliedern.

Sehe ich auch so.
Nutzt für Fragen doch bitte unser

.

Ich blick hier mittlerweile auch nicht mehr ganz durch.

tadela · 12/06/2015, 12:09

Mal etwas das hier glaube ich schon hingehört.

Im Script gibts ihrgendwo einen Fehler bei der Nginx installation.. siehe fehlermeldungen: (wird scheinbar der nginx ordner nicht erstellt und wohl auch die kompillierte datei nicht gefunden)

Probiert mit 0.3.5 und 0.3.0 - selbiger fehler

Code:

[11:45:43] | [INFO] Installing Nginx...
mv: cannot stat ‘nginx_1.9.5-1_amd64.deb’: No such file or directory
mkdir: cannot create directory ‘/etc/nginx/sites-available’: No such file or directory
chown: cannot access ‘/etc/nginx/logs’: No such file or directory
[11:45:44] | [INFO] Configuring Nginx...
sources/script/functions.sh: line 481: /etc/nginx/nginx.conf: No such file or directory
sources/script/functions.sh: line 541: /etc/nginx/sites-available/......conf: No such file or directory
ln: failed to create symbolic link ‘/etc/nginx/sites-enabled/......conf’: No such file or directory
[11:45:44] | [INFO] Configuring PHP...
[11:45:44] | [INFO] Configuring Naxsi...
cp: cannot create regular file ‘/etc/nginx/’: Not a directory
sources/script/functions.sh: line 770: /etc/nginx/naxsi.rules: No such file or directory
[11:45:44] | [INFO] Creating self-signed SSL certificates...
[11:45:44] | [INFO] Creating strong Diffie-Hellman parameters, please wait...
[11:48:47] | [INFO] Installing mailserver...
cp: cannot stat ‘/etc/nginx/ssl/dh.pem’: No such file or directory
[11:56:10] | [INFO] Creating MySQL databases...
[11:56:10] | [INFO] Installing Postfix...
[11:56:10] | [INFO] Installing Fuglu...
[11:56:12] | [INFO] Installing Dovecot...
[11:56:13] | [INFO] Installing ClamaV...
[11:56:26] | [INFO] Installing OpenDKIM...
[11:56:26] | [INFO] Installing SpamAssassin...
[11:56:34] | [INFO] Installing Mailcow...
[11:56:53] | [INFO] Installing Z-Push...
sources/script/functions.sh: line 1023: /etc/nginx/sites-custom/mailcow.conf: No such file or directory
sources/script/functions.sh: line 1048: /etc/nginx/sites-available/autodiscover.......conf: No such file or directory
sources/script/functions.sh: line 1159: /etc/nginx/sites-available/dav.......conf: No such file or directory
ln: failed to create symbolic link ‘/etc/nginx/sites-enabled/autodiscover.......conf’: No such file or directory
ln: failed to create symbolic link ‘/etc/nginx/sites-enabled/dav.......conf’: No such file or directory
[11:56:53] | [INFO] Installing RoundCube...
sources/script/functions.sh: line 1293: /etc/nginx/sites-custom/roundcube.conf: No such file or directory
[11:57:00] | [INFO] Installing phpMyAdmin...
sources/script/functions.sh: line 1406: /etc/nginx/sites-custom/phpmyadmin.conf: No such file or directory
[11:58:14] | [INFO] Installing Arno-Iptables-Firewall...
[11:58:16] | [INFO] Configuring Arno-Iptables-Firewall...
[11:58:17] | [INFO] Installing fail2ban...

Zypr · 12/06/2015, 13:46

Quote:

Originally Posted by tadela

Mal etwas das hier glaube ich schon hingehört.

Im Script gibts ihrgendwo einen Fehler bei der Nginx installation.. siehe fehlermeldungen: (wird scheinbar der nginx ordner nicht erstellt und wohl auch die kompillierte datei nicht gefunden)

Probiert mit 0.3.5 und 0.3.0 - selbiger fehler

Code:

[11:45:43] | [INFO] Installing Nginx...
mv: cannot stat ‘nginx_1.9.5-1_amd64.deb’: No such file or directory
mkdir: cannot create directory ‘/etc/nginx/sites-available’: No such file or directory
chown: cannot access ‘/etc/nginx/logs’: No such file or directory
[11:45:44] | [INFO] Configuring Nginx...
sources/script/functions.sh: line 481: /etc/nginx/nginx.conf: No such file or directory
sources/script/functions.sh: line 541: /etc/nginx/sites-available/......conf: No such file or directory
ln: failed to create symbolic link ‘/etc/nginx/sites-enabled/......conf’: No such file or directory
[11:45:44] | [INFO] Configuring PHP...
[11:45:44] | [INFO] Configuring Naxsi...
cp: cannot create regular file ‘/etc/nginx/’: Not a directory
sources/script/functions.sh: line 770: /etc/nginx/naxsi.rules: No such file or directory
[11:45:44] | [INFO] Creating self-signed SSL certificates...
[11:45:44] | [INFO] Creating strong Diffie-Hellman parameters, please wait...
[11:48:47] | [INFO] Installing mailserver...
cp: cannot stat ‘/etc/nginx/ssl/dh.pem’: No such file or directory
[11:56:10] | [INFO] Creating MySQL databases...
[11:56:10] | [INFO] Installing Postfix...
[11:56:10] | [INFO] Installing Fuglu...
[11:56:12] | [INFO] Installing Dovecot...
[11:56:13] | [INFO] Installing ClamaV...
[11:56:26] | [INFO] Installing OpenDKIM...
[11:56:26] | [INFO] Installing SpamAssassin...
[11:56:34] | [INFO] Installing Mailcow...
[11:56:53] | [INFO] Installing Z-Push...
sources/script/functions.sh: line 1023: /etc/nginx/sites-custom/mailcow.conf: No such file or directory
sources/script/functions.sh: line 1048: /etc/nginx/sites-available/autodiscover.......conf: No such file or directory
sources/script/functions.sh: line 1159: /etc/nginx/sites-available/dav.......conf: No such file or directory
ln: failed to create symbolic link ‘/etc/nginx/sites-enabled/autodiscover.......conf’: No such file or directory
ln: failed to create symbolic link ‘/etc/nginx/sites-enabled/dav.......conf’: No such file or directory
[11:56:53] | [INFO] Installing RoundCube...
sources/script/functions.sh: line 1293: /etc/nginx/sites-custom/roundcube.conf: No such file or directory
[11:57:00] | [INFO] Installing phpMyAdmin...
sources/script/functions.sh: line 1406: /etc/nginx/sites-custom/phpmyadmin.conf: No such file or directory
[11:58:14] | [INFO] Installing Arno-Iptables-Firewall...
[11:58:16] | [INFO] Configuring Arno-Iptables-Firewall...
[11:58:17] | [INFO] Installing fail2ban...

Du bist schon der zweite mit dem Problem. Ich hab mir die aktuelle Version angeschaut und keinen Fehler an der Stelle im Skript feststellen können. Wenn ich das Schritt für Schritt per Hand nachmache, dann kommt das erwünschte Ergebnis bei raus. Gedulde dich noch ein paar Minuten, ich bin gerade Dabei den Changelog für die neue Version zu schreiben. Es gibt unter Anderem jetzt auch Let's Encrypt und somit ein validiertes Zertifikat für den Web- und Mailserver. Vielleicht hat sich das Problem mit der neuen Version gelöst.. ansonsten müsste ich mir das genauer anschauen.

Du kannst mir aber vorab sagen, mit welcher Virtualisierungssoftware dein Server realisiert worden ist oder ob du den selber mit Hilfe der netinstall Disc installiert hast.

Gruß

tadela · 12/06/2015, 15:03

Naja der "Server" ist ein alter PC von mir den ich für Tests nutze. Da ist nichts virtualisiert. Ich warte mal das Update ab sonst melde ich mich nochmals.

Edit: Das Problem dürfte behoben sein. Bei mir gibt es keine Fehlermeldung mehr. Besten Dank für das schnelle Update!

Zypr · 12/06/2015, 15:15

Das Update ist nun draußen.

Da Let's Encrypt am 03.12 seine Pforten für die Öffentlichkeit (Public Beta) geöffnet hat, habe ich es direkt in das Skript implementiert. Ich bin gerade auch dabei den Thread endlich mal zu überarbeiten/aktualisieren, dann schreibe ich auch etwas mehr zu den einzelnen Systemen, wo man welche Config findet und wie man z. Bsp. ein neues Zertifikat erstellt oder das bestehende aktualisiert.

Leider gibt es immer noch kein Updateskript, denn dafür müsste ich das komplette Skripz umkrempeln und eine Menge Abfragen basteln. Ich überlege mir noch auf was ich den Updatevorgang beschränken soll.

Axiades · 12/07/2015, 06:27

Hey Zypr.

Ich Denke mal dass dies auchnoch mit hier rein Kann da ich nach dem ich dass Zertifikat für ALLE Subdomains erneuert habe die ich benötige

haben Folgenden Befehl dafür Verwendet.

Spoiler

Und Bekomme Folgendes Ergebnis beim aufrufen meiner Ganzen Seiten Mit meinem FIREFOX Browser

//EDIT://

Es Liegt an Folgender Zeile in der /etc/nginx/sites-available/domain.tld.conf

#add_header Public-Key-Pins 'pin-sha256="--"; pin-sha256="--"; max-age=5184000; includeSubDomains';

Die Frage ist jetzt wie kann ich diese Zeile NEU generieren.. hab diese wie man sieht erstmal auskommentiert.. jetzt funktionierts auch vorläufig..

Freue mich auf Hilfe.

LG
Phill

Zypr · 12/07/2015, 15:39

Hallo Axiades, danke für dein Feedback. Ich werde das im ersten Thread direkt mit reinschreiben, daran habe ich nicht gedacht.. wie das immer so mit Dingen ist, die man für selbstverständlich hält ;D

Jedenfalls kannst du den Pin nach Erstellen des Zertifikates einfach neu erstellen:

Code:

openssl x509 -pubkey < /etc/nginx/ssl/domain.tld.pem | openssl pkey -pubin -outform der | openssl dgst -sha256 -binary | base64

Den Code trägst du dann in das erste 'pin-sha256=' Feld ein, also so:

Code:

add_header Public-Key-Pins 'pin-sha256="HIERDENCODEREIN"; pin-sha256="--"; max-age=5184000; includeSubDomains';

Es funktioniert auch mit einem, du kannst für den zweiten aber auch einfach einen Pseudopin generieren oder dir ein zweites Zertifikat erstellen (unbedingt bei einer anderen Zertifizierungsstelle, bei ein und der selben funktioniert das nicht).

Code:

openssl rand -base64 32

Den trägst du dann einfach in das zweite Feld ein.

Axiades · 12/07/2015, 18:27

Auch wenn ich Kaum Erfahrung in der Einrichtung habe so habe ich dennoch genug wissen um Fehler zu finden und diese Teils Zu Beheben ^^

und da helfe ich auch gern mit Kritik Lob und Anregungen

Also hier auch nochmal Super Arbeit von dir Zypr

mxiiii · 12/08/2015, 13:15

@All

Hier eine aktualisiertes Updatescript von v0.3.5 auf v0.3.8

Lets Encrypt habe ich weggelassen, da es nur bei neu Installationen notwendig ist. Bestehende Server hatten hier hoffentlich schon echte Zertifikate eingebaut incl. Pinning

@Zypr

Hast du bedacht, das die Lets Encrypt Zerifikate nach 90 Tagen auslaufen und durch das Pinning ein neues Zertifikat nur über den Backup csr beantragt werden darf ? Ansonsten sperrt man sich und alle anderen für 60 Tage oder mehr aus

Durch die kurze Lebensdauer ist Pinning bei Lets Encrypt recht aufwendig und die Gefahr das man sich und andere aussperrt sehr groß.

Wegen dem allgemeinen Support. Macht es nicht Sinn, wie Ares schon vorschlug, auf das Unix/Linux Forum von ePvP auszuweichen ? Wenn du im Hauptost einen Link zu einem Support-Thread veröffentlichts, könnte man sich hier nur auf das Script selbst konzentrieren.

@Ares

Es wird langsam wirklich unübersichtlich. Kannst du als Mod nicht die alten Posts (von Post #290 abwärts) löschen ? Diese beziehen sich ja alle auf ein altes Release.

Zypr · 12/08/2015, 15:12

Grüß dich Mxiiii,

darüber habe ich heute ehrlich gesagt schon die ganze Zeit nachgedacht. Du hast völlig Recht, was das Pinning angeht. Zumal viele den Server immer wieder neu installieren und "rumspielen". Ich denke, ich lasse das Pinning komplett raus, zumal der ein oder andere evtl. noch andere Subdomains benötigt und das Zertifikat sowieso neu installieren möchte.

Was den separaten Thread angeht, so habe ich bei den Mods mal angefragt, ob es nicht sinnvoller ist den Thread allgemein in den Bereich Unix/Linux zu verschieben, da das hier eigentlich gar kein Tutorial mehr ist und ich wohl nicht mehr dazu kommen werde, bei dem Umfang eine Schritt-für-Schritt Anleitung zu tippen. Zusätzlich wollte ich noch einen Support/Fragen Thread erstellen, damit nicht jedes Mal ein neuer Beitrag zu dem Skript eröffnet wird.

Und nochmal ein großes Dankeschön für dein Updateskript. Ich werde es im Hauptthread verlinken! Sobald sich ein Mod auf meine Anfrage geäußert hat, werde ich je nachdem was dabei rauskommt, auch den bereits erwähnten Supportthread aufmachen und diesen auch im Hauptpost verlinken.

HPKP lasse ich jedenfalls raus, da es wirklich keinen Sinn macht, das automatisch mit zu installieren.

Liebe Grüße
Zypr

mxiiii · 12/08/2015, 15:44

Grüße zypr,

gute Idee von dir es weg zu lassen ... Mir ist gerade genau das passiert mit dem Pinning, zum Glück auf einem Testserver

...aber es gibt ja noch Browser die das pinning nicht können

Ich bin gerade dabei das Updatescript benutzerfreundlicher zu machen ohne die nachträglichen manuellen Änderungen. Warte von daher noch etwas mit dem Verlinken auf der Hauptseite. ...wird aber noch bis ende der Woche dauern.

Axiades · 12/08/2015, 22:30

Ich habe mir leider grade den Kompletten Root Zerschossen mit dem Lieben "rm -r" befehl .. habe ein / vergessen und dadurch das komplette root verzeichnis gecleart..

hoffe dass ich es diesmal schaffe ohne den Root nochmal zu killn war ne echt fiese sache alles weg sogar meine daten die schon oben waren >_<

Achja zudem gibts bei ziemlich Vielen ForenSystemen eine kleine Inkompabilität mit Nginx.

Z.b. bei wbb4 wenn dies in ssl läuft kann man die startseite nicht aufrufen oder allgemein kann man die Forenbereiche nicht aufrufen..

//Edit=1//
[01:01:45] | [OKAY] The system meets the minimum requirements.
[01:01:45] | [INFO] Checking your configuration...
[01:01:54] | [OKAY] Userconfig is correct.

[01:01:54] | [INFO] Starting installation!
[01:01:54] | [INFO] Setting your hostname...
[01:01:54] | [INFO] Setting your timezone...
[01:01:54] | [INFO] Installing prerequisites...
[01:01:54] | [WARN] Some of the tasks could take a long time, please be patient!
[01:11:25] | [INFO] Downloading GNU bash & latest security patches...
[01:11:34] | [INFO] Patching sourcefiles...
[01:11:34] | [INFO] Compiling GNU bash...
[01:12:27] | [INFO] Installing OpenSSL libs & headers...
[01:12:37] | [INFO] Downloading OpenSSH...
[01:12:38] | [INFO] Compiling OpenSSH...
[01:13:43] | [INFO] Downloading Nginx Pagespeed...
[01:13:51] | [INFO] Downloading Naxsi...
[01:13:52] | [INFO] Downloading Nginx...
[01:13:54] | [INFO] Compiling Nginx...
[01:16:56] | [INFO] Installing Nginx...
[01:16:58] | [INFO] Configuring Nginx...
[01:16:58] | [INFO] Creating valid SSL certificates...

irgendwie hägt der sich bei mir beim SSL Zertifikat auf.. ka wieso :/

//Edit=2//
Hey,

Ich weiß dass dass ganze Script auf Nginx aufbaut und auch Nginx bevorzugt genutzt wird.. aber könnte man es nicht so machen dass WENN der server Mehrere IPs hat z.b. 2 und man auch 2 Domains besitzt wie ich ^^

Dass man z.b. zwei verschiedene Webserver nutzen kann wie z.b. für IP*Domain1 Nginx & für IP*Domain2 Apache2

Damit man auch die chance bekommt verschiedene scripte die z.b. nur mit Apache laufen auf dem 2. Webserver(IP+Domain) laufen lässt und die die auch mit Nginx laufen den halt auf 1. Webserver(IP+Domain)

oder dass man auch auswählen kann welchen man nutzen möchte in der userconfig.cfg

so wie du die wahl gibst SSL oder MailServer zu deaktivieren ^^

mxiiii · 12/09/2015, 08:16

Hi Axiades,

das mit dem root ist echt misst.

Zu deinen Problemen:

Wenn beim Script irgend etwas nicht läuft, einfach an den betreffenden Stellen die "/dev/null 2>&1" entfernen. Dann siehst du was es macht, vermutlich keine Verbindung zu den Lets Encrypt Servern.

Die Lets Encrypt Zertifikate kannst du auch deaktivieren in der userconf.

Webserver ohne SSL ? Wie bist du drauf

Apache als Zusatz Webserver ? Sinn würde ein NGINX als Proxy und dahinter Apache machen, aber ob sich jemand diesen Aufwand machen möchte zu Scripten ?

Axiades · 12/09/2015, 17:41

Quote:

Originally Posted by mxiiii

Hi Axiades,

das mit dem root ist echt misst.

Zu deinen Problemen:

Wenn beim Script irgend etwas nicht läuft, einfach an den betreffenden Stellen die "/dev/null 2>&1" entfernen. Dann siehst du was es macht, vermutlich keine Verbindung zu den Lets Encrypt Servern.

Die Lets Encrypt Zertifikate kannst du auch deaktivieren in der userconf.

Webserver ohne SSL ? Wie bist du drauf

Apache als Zusatz Webserver ? Sinn würde ein NGINX als Proxy und dahinter Apache machen, aber ob sich jemand diesen Aufwand machen möchte zu Scripten ?

Jaaaa guuuut nein du verstehst mich nicht Mxiii

Ich Benötige leider für Einige Scripte einen Reinen Apache Webserver den ich aktuell Parralell immer installieren muss und einrichten muss nur .. läuft der nur wenn ich Nginx Aus habe..

Weil Nginx Läuft ja Leider aktuell nicht Wirklich mit Allen ForenSystemen.. und ich will mein Server als GildenHosting für Websites und TeamSpeak nutzen ..
Problem ist nur ich nutze eine Kommerz. WBB4 Lizenz. die es mit erlaubt mehr als 1 forum zu erstellen auf der einen Domain mit halt nur Subdomains.

so jetzt aber mein Problem es lässt sich installn aber ich kann weder Profile, Forenbereiche, Kategorieen noch das Dashboard richtig aufrufen.. bekomme nur ne Leere Dashboard seite

und WebServer Ohne SSL ?! Spinnst du niemals ich Liebe SSL ^^

Zypr · 12/10/2015, 14:22

Quote:

Originally Posted by Axiades

Jaaaa guuuut nein du verstehst mich nicht Mxiii

Ich Benötige leider für Einige Scripte einen Reinen Apache Webserver den ich aktuell Parralell immer installieren muss und einrichten muss nur .. läuft der nur wenn ich Nginx Aus habe..

Weil Nginx Läuft ja Leider aktuell nicht Wirklich mit Allen ForenSystemen.. und ich will mein Server als GildenHosting für Websites und TeamSpeak nutzen ..
Problem ist nur ich nutze eine Kommerz. WBB4 Lizenz. die es mit erlaubt mehr als 1 forum zu erstellen auf der einen Domain mit halt nur Subdomains.

so jetzt aber mein Problem es lässt sich installn aber ich kann weder Profile, Forenbereiche, Kategorieen noch das Dashboard richtig aufrufen.. bekomme nur ne Leere Dashboard seite

und WebServer Ohne SSL ?! Spinnst du niemals ich Liebe SSL ^^

Nginx läuft mit allen mir bekannten Forensystemen. Das was nicht läuft ist meistens die .htaccess und die darin enthaltenen Regeln und Rewrites. Man müsste die ganzen rewrite rules nur entsprechend in der Nginx Konfigurationsdatei eintragen und schon läuft es auch mit Nginx. Es gibt einfach keinen Grund, Apache zu installieren. Alles was Apache kann, kann Nginx besser.