De Perfecte Server – Ubuntu 18.04 (Nginx, MySQL, PHP, Postfix, BIND, Dovecot, Pure-FTPD en ISPConfig 3.1).

Deze handleiding toont de stappen om een Ubuntu 18.04 (Bionic Beaver) server te installeren met Nginx, PHP, MariaDB, Postfix, pure-ftpd, BIND, Dovecot en ISPConfig 3.1. ISPConfig is een webhosting controlepaneel waarmee je de geïnstalleerde diensten via een webbrowser kunt configureren. Deze opstelling biedt een volledige hosting server met web, e-mail (incl. spam en antivirus filter), Database, FTP en DNS diensten.

1. Opmerking vooraf

In deze handleiding gebruik ik de hostname server1.example.com met het IP adres 192.168.1.100 en de gateway 192.168.1.1 voor de netwerk configuratie. Deze instellingen kunnen voor jou anders zijn, dus moet je ze waar nodig vervangen. Voordat je verder gaat, moet je een minimale basisinstallatie van Ubuntu 18.04 hebben, zoals in dezezelfstudie wordt uitgelegd.

De stappen in deze handleiding moeten als root gebruiker uitgevoerd worden, dus ik zal geen “sudo” voor de commando’s zetten. Ofwel log je als root gebruiker in op je server voor je verder gaat, ofwel voer je uit:

sudo -s

om root te worden als je als een andere gebruiker op de shell bent ingelogd.

De commando’s om bestanden te bewerken gebruiken de editor “nano”, je kunt deze vervangen door een editor naar keuze. Nano is een gemakkelijk te gebruiken bestandseditor voor de shell. Als je nano graag gebruikt en het nog niet geïnstalleerd hebt, voer dan uit:

apt-get install nano

2. Werk je Linux installatie bij

Bewerk /etc/apt/sources.list. Commentarieer of verwijder de installatie-CD uit het bestand en zorg ervoor dat de universum en multiverse repositories ingeschakeld zijn. Het zou er zo uit moeten zien:

nano /etc/apt/sources.list
#

# deb cdrom:[Ubuntu-Server 18.04 LTS _Bionic Beaver_ - Release amd64 (20180425.1)]/ bionic main restricted

#deb cdrom:[Ubuntu-Server 18.04 LTS _Bionic Beaver_ - Release amd64 (20180425.1)]/ bionic main restricted

# See http://help.ubuntu.com/community/UpgradeNotes for how to upgrade to
# newer versions of the distribution.
deb http://de.archive.ubuntu.com/ubuntu/ bionic main restricted
# deb-src http://de.archive.ubuntu.com/ubuntu/ bionic main restricted

## Major bug fix updates produced after the final release of the
## distribution.
deb http://de.archive.ubuntu.com/ubuntu/ bionic-updates main restricted
# deb-src http://de.archive.ubuntu.com/ubuntu/ bionic-updates main restricted

## N.B. software from this repository is ENTIRELY UNSUPPORTED by the Ubuntu
## team. Also, please note that software in universe WILL NOT receive any
## review or updates from the Ubuntu security team.
deb http://de.archive.ubuntu.com/ubuntu/ bionic universe
# deb-src http://de.archive.ubuntu.com/ubuntu/ bionic universe
deb http://de.archive.ubuntu.com/ubuntu/ bionic-updates universe
# deb-src http://de.archive.ubuntu.com/ubuntu/ bionic-updates universe

## N.B. software from this repository is ENTIRELY UNSUPPORTED by the Ubuntu
## team, and may not be under a free licence. Please satisfy yourself as to
## your rights to use the software. Also, please note that software in
## multiverse WILL NOT receive any review or updates from the Ubuntu
## security team.
deb http://de.archive.ubuntu.com/ubuntu/ bionic multiverse
# deb-src http://de.archive.ubuntu.com/ubuntu/ bionic multiverse
deb http://de.archive.ubuntu.com/ubuntu/ bionic-updates multiverse
# deb-src http://de.archive.ubuntu.com/ubuntu/ bionic-updates multiverse

## N.B. software from this repository may not have been tested as
## extensively as that contained in the main release, although it includes
## newer versions of some applications which may provide useful features.
## Also, please note that software in backports WILL NOT receive any review
## or updates from the Ubuntu security team.
deb http://de.archive.ubuntu.com/ubuntu/ bionic-backports main restricted universe multiverse
# deb-src http://de.archive.ubuntu.com/ubuntu/ bionic-backports main restricted universe multiverse

## Uncomment the following two lines to add software from Canonical's
## 'partner' repository.
## This software is not part of Ubuntu, but is offered by Canonical and the
## respective vendors as a service to Ubuntu users.
# deb http://archive.canonical.com/ubuntu bionic partner
# deb-src http://archive.canonical.com/ubuntu bionic partner

deb http://security.ubuntu.com/ubuntu bionic-security main restricted
# deb-src http://security.ubuntu.com/ubuntu bionic-security main restricted
deb http://security.ubuntu.com/ubuntu bionic-security universe
# deb-src http://security.ubuntu.com/ubuntu bionic-security universe
deb http://security.ubuntu.com/ubuntu bionic-security multiverse
# deb-src http://security.ubuntu.com/ubuntu bionic-security multiverse

Voer dan uit:

apt-get update

Om de apt pakketdatabase bij te werken en dan:

apt-get upgrade

om de laatste updates te installeren (als die er zijn). Als je ziet dat er een nieuwe kernel geïnstalleerd wordt als onderdeel van de updates, moet je het systeem daarna opnieuw opstarten:

reboot

3. Verander de standaard shell

/bin/sh is een symlink naar /bin/dash, maar we hebben /bin/bash nodig, niet /bin/dash. Daarom doen we het volgende:

dpkg-reconfigure dash

Gebruik je dash als de standaard systeemshell (/bin/sh)? <- Nee

Als je dit niet doet, mislukt de installatie van ISPConfig.

4. Schakel AppArmor uit

AppArmor is een beveiligingsuitbreiding (vergelijkbaar met SELinux) die uitgebreide beveiliging zou moeten bieden. We controleren kruiselings of hij geïnstalleerd is en verwijderen hem indien nodig. Naar mijn mening heb je het niet nodig om een veilig systeem in te stellen, en het veroorzaakt meestal meer problemen dan voordelen (denk eraan nadat je een week lang troubleshooting gedaan hebt omdat een of andere dienst niet werkte zoals verwacht, en dan ontdek je dat alles in orde was, alleen AppArmor veroorzaakte het probleem). Daarom schakel ik het uit (dit is een must als je later ISPConfig wilt installeren).

We kunnen het als volgt uitschakelen:

service apparmor stop
update-rc.d -f apparmor remove
apt-get remove apparmor apparmor-utils

5. Synchroniseer de systeemklok

Het is een goed idee om de systeemklok te synchroniseren met een NTP(network time protocol) server over het Internet. Voer eenvoudig

apt-get -y install ntp ntpdate

en je systeemtijd zal altijd synchroon lopen.

6. Installeer Postfix, Dovecot, MariaDB, phpMyAdmin, rkhunter, Binutils

Om postfix te installeren, moeten we er zeker van zijn dat sendmail niet geïnstalleerd is en draait. Om sendmail te stoppen en te verwijderen voer je dit commando uit:

service sendmail stop; update-rc.d -f sendmail remove

De foutmelding:

Failed to stop sendmail.service: Unit sendmail.service not loaded.

Is ok, het betekent alleen dat sendmail niet geïnstalleerd was, dus er hoefde niets verwijderd te worden.

We kunnen Postfix, Dovecot, MariaDB (als vervanger van MySQL), rkhunter, en binutils met een enkel commando installeren:

apt-get -y install postfix postfix-mysql postfix-doc mariadb-client mariadb-server openssl getmail4 rkhunter binutils dovecot-imapd dovecot-pop3d dovecot-mysql dovecot-sieve dovecot-lmtpd  sudo

MariaDB is een afsplitsing van de MySQL databaseserver, ontwikkeld door de oorspronkelijke MySQL ontwikkelaar Monty Widenius. Volgens tests op het internet is MariaDB sneller dan MySQL en gaat de ontwikkeling ervan met een hoger tempo door, daarom hebben de meeste Linux Distributies MySQL vervangen door MariaDB als standaard “MySQL gelijkende” databaseserver. In het geval dat je MySQL verkiest boven MariaDB, vervang dan “mariadb-client mariadb-server” in het bovenstaande commando door “mysql-client mysql-server”.

Je krijgt nu de volgende vragen:

General type of mail configuration: <-- Internet Site
System mail name: <-- server1.example.com

Open vervolgens de TLS/SSL en indieningspoorten in Postfix:

nano /etc/postfix/master.cf

Maak de submissie en smtps secties als volgt oncommentarieerd – voeg de regel -o smtpd_client_restrictions=permit_sasl_authenticated,reject aan beide secties toe en laat alles daarna becommentarieerd:

[...]
submission inet n       -       -       -       -       smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
#  -o smtpd_reject_unlisted_recipient=no
#  -o smtpd_client_restrictions=$mua_client_restrictions
#  -o smtpd_helo_restrictions=$mua_helo_restrictions
#  -o smtpd_sender_restrictions=$mua_sender_restrictions
#  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject
#  -o milter_macro_daemon_name=ORIGINATING
smtps     inet  n       -       -       -       -       smtpd
  -o syslog_name=postfix/smtps
  -o smtpd_tls_wrappermode=yes
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_client_restrictions=permit_sasl_authenticated,reject
#  -o smtpd_reject_unlisted_recipient=no
#  -o smtpd_client_restrictions=$mua_client_restrictions
#  -o smtpd_helo_restrictions=$mua_helo_restrictions
#  -o smtpd_sender_restrictions=$mua_sender_restrictions
#  -o smtpd_recipient_restrictions=permit_sasl_authenticated,reject
#  -o milter_macro_daemon_name=ORIGINATING
[...]

OPMERKING: De witruimtes vóór de “-o …. ” regels zijn belangrijk!

Herstart daarna Postfix:

service postfix restart

We willen dat MariaDB/MySQL op alle interfaces luistert, niet alleen op localhost. Daarom bewerken we /etc/mysql/mariadb.conf.d/50-server.cnf (voor MariaDB of/etc/mysql/my.cnf(voor MySQL) en becommentariëren de regel bind-address = 127.0.0.1:

MariaDB

nano /etc/mysql/mariadb.conf.d/50-server.cnf
[...]
# Instead of skip-networking the default is now to listen only on
# localhost which is more compatible and is not less secure.
#bind-address           = 127.0.0.1
[...]

Nu stellen we een root wachtwoord in MariaDB in. Voer uit:

mysql_secure_installation

Je krijgt de volgende vragen:

Enter current password for root (enter for none): <-- press enter
Set root password? [Y/n] <-- y
New password: <-- Enter the new MariaDB root password here
Re-enter new password: <-- Repeat the password
Remove anonymous users? [Y/n] <-- y
Disallow root login remotely? [Y/n] <-- y
Reload privilege tables now? [Y/n] <-- y

Zet de wachtwoord authenticatie methode in MariaDB op native zodat we later PHPMyAdmin kunnen gebruiken om als root gebruiker te verbinden:

echo "update mysql.user set plugin = 'mysql_native_password' where user='root';" | mysql -u root

Bewerk het bestand /etc/mysql/debian.cnf en stel daar tweemaal het MYSQL / MariaDB root wachtwoord in, in de rijen die beginnen met password.

nano /etc/mysql/debian.cnf

Het MySQL root wachtwoord dat toegevoegd moet worden staat in gelezen, in dit voorbeeld is het wachtwoord “howtoforge”.

# Automatically generated for Debian scripts. DO NOT TOUCH!
[client]
host = localhost
user = root
password = howtoforge
socket = /var/run/mysqld/mysqld.sock
[mysql_upgrade]
host = localhost
user = root
password = howtoforge
socket = /var/run/mysqld/mysqld.sock
basedir = /usr

Dan herstarten we MariaDB:

service mysql restart

De systemd dienstnaam voor MariaDB en MySQL is “mysql“, dus het herstart commando is voor beide databaseservers hetzelfde.

MySQL

nano /etc/mysql/my.cnf
[...]
# Instead of skip-networking the default is now to listen only on
# localhost which is more compatible and is not less secure.
#bind-address           = 127.0.0.1
[...]

Dan herstarten we MySQL:

service mysql restart

De systemd dienstnaam voor MariaDB en MySQL is “mysql”, dus het herstart commando is voor beide databaseservers hetzelfde.

Voor MySQL en MariaDB:

Controleer nu of netwerken ingeschakeld is. Voer uit:

netstat -tap | grep mysql

De uitvoer zou er als volgt uit moeten zien:

[email protected]:~# netstat -tap | grep mysql
tcp6 0 0 [::]:mysql [::]:* LISTEN 12210/mysqld

7. Installeer amavisd-new, SpamAssassin, en ClamAV

Om amavisd-new, SpamAssassin, en ClamAV te installeren, voeren we uit

apt-get -y install amavisd-new spamassassin clamav clamav-daemon unzip bzip2 arj nomarch lzop cabextract apt-listchanges libnet-ldap-perl libauthen-sasl-perl clamav-docs daemon libio-string-perl libio-socket-ssl-perl libnet-ident-perl zip libnet-dns-perl postgrey libdbd-mysql-perl

De ISPConfig 3 setup gebruikt amavisd-new die de SpamAssassin filter bibliotheek intern laadt, zodat we SpamAssassin kunnen stoppen om RAM vrij te maken:

service spamassassin stop
update-rc.d -f spamassassin remove

Om de ClamAV antivirus handtekeningen bij te werken en de Clamd dienst te starten. Het update proces kan enige tijd duren, onderbreek het niet.

freshclam
service clamav-daemon start

De volgende fout kan bij de eerste run van freshclam genegeerd worden.

ERROR: /var/log/clamav/freshclam.log is locked by another process
ERROR: Problem with internal logger (UpdateLogFile = /var/log/clamav/freshclam.log).

Het programma amavisd-new heeft momenteel een bug in Ubuntu 18.04 die verhindert dat emails correct met Dkim ondertekend worden. Voer de volgende commando’s uit om amavisd-new te patchen.

cd /tmp
wget https://git.ispconfig.org/ispconfig/ispconfig3/raw/stable-3.1/helper_scripts/ubuntu-amavisd-new-2.11.patch
cd /usr/sbin
cp -pf amavisd-new amavisd-new_bak
patch < /tmp/ubuntu-amavisd-new-2.11.patch

Mocht je een fout krijgen bij het laatste ‘patch’ commando, dan heeft Ubuntu het probleem waarschijnlijk intussen verholpen, dus die fout kun je dan veilig negeren.

7.1 Installeer Metronome XMPP Server (optioneel)

De Metronome XMPP Server levert een XMPP chatserver. Deze stap is optioneel, als je geen chat server nodig hebt, dan kun je deze stap overslaan. Geen andere ISPConfig functies hangen van deze software af.

Installeer de volgende pakketten met apt.

apt-get -y install git lua5.1 liblua5.1-0-dev lua-filesystem libidn11-dev libssl-dev lua-zlib lua-expat lua-event lua-bitop lua-socket lua-sec luarocks luarocks
luarocks install lpc

Voeg een shell gebruiker toe voor Metronome.

adduser --no-create-home --disabled-login --gecos 'Metronome' metronome

Download Metronome naar de /opt directory en compileer het.

cd /opt; git clone https://github.com/maranda/metronome.git metronome
cd ./metronome; ./configure --ostype=debian --prefix=/usr
make
make install

Metronome is nu geïnstalleerd in /opt/metronome.