1. LAMP-Server-Dokumentation tubit

Transkript

1 1. LAMP-Server-Dokumentation Technische Universität Berlin

2 2. Inhaltsverzeichnis 1. LAMP-Server-Dokumentation Inhaltsverzeichnis Einleitung Installation Partitionierung Software Konfiguration Netzwerk Bash Aliases History Completion Crontab iptables SSH-Server Lokale Benutzer Apache ip based vhost anlegen SSL aktivieren MySQL Mediawiki Beschränkungen Bilder-Upload Dateien uploaden Wordpress PhpMyAdmin Backup MySQL HTDOCS /etc Updates Wo finde ich was? Mediawiki Wordpress PhpMyAdmin Apache SSL Firewall Backup Welche Benutzer und Passwörter gibt es initial?... 23

3 8.1. Lokale Accounts Mediawiki Wordpress MySQL Wie ändere ich die Passwörter? Mediawiki Wordpress MySQL Lokale Accounts Wie greife ich auf die Maschine zu?

4 3. Einleitung Für Sie als Kunden ist es wichtig zu wissen, wie was wo installiert wurde. Deshalb wird in dieser Dokumentation die grundlegende Installation und Konfiguration Ihres LAMP-Servers beschrieben. Sie werden später ebenfalls erfahren, welche Benutzer eingerichtet sind, welche initialen Passwörter gesetzt sind etc. Die Dokumentattion ist in mehrere Bereiche eingeteilt: Installation, Konfiguration, Backup, Wo finde ich was? und Benutzer/Passwörter. Innerhalb der Dokumentation werden Konventionen benutzt, die zum besseren Verständnis beitragen sollen. Befehle, die auf der Kommandozeile ausgeführt werden, werden durch einen grauen Kasten eingerahmt. Konfigurationsdateien werden durch einen blauen Kasten umgeben. Das # stellt den Aufruf des Befehls als root-benutzer dar. # Befehl auf der Kommandozeile Inhalt einer Datei (Konfiguration etc.) Die Angabe von Dateinamen oder Befehlen werden innerhalb des Textes durch eine kursive schreibweise hervorgehoben.

5 4. Installation 4.1. Partitionierung Es gibt insgesamt vier Partitionen: /boot (Dort liegt der Kernel und der Boot-Agent) swap (Auslagerungspartition) / (root-partition) /var (Dort werden alle verändernden Dateien gespeichert) Folgendes Bild verdeutlicht die endgültige Partitionierung der VMware-template-Maschine: 4.2. Software Bei der Installationsroutine wird nach der zu installierenden Grundsoftware gefragt. Dort wird LAMP angegeben. Der SSH-Server wird ausgelassen, da erst die Repositories ein Update erfahren sollten 1. Die Installation geht dann von alleine weiter und fragt nur noch nach dem Standardbenutzer und einigen Passwörtern (Standardbenutzer, MySQL). Als Standardbenutzer sind folgende eingetragen: lamp root 1 Vergleiche

6 Um besser arbeiten zu können, wurden Tools installiert und die Bash (dazu weiter unten mehr) konfiguriert: joe ntpdate Nachdem alles soweit fertig war, wurde erstmal ein Update der Repositories gemacht und das System auf den aktuellen Stand gebracht: # apt-get update # apt-get upgrade Danach wurde der SSH-Server installiert: # apt-get install openssh-server Die bietet gewisse Webanwendungen, wie Mediawiki, Wordpress und PhpMyAdmin an. Ubuntu liefert dafür Pakete mit. Diese wurden installiert: # apt-get install mediwiki wordpress phpmyadmin Wollen Sie mehrere Instanzen eines Mediawikis laufen lassen, müssen Sie die Sourcen runterladen und zum Beispiel in das htdocs-verzeichnis kopieren. Ansonsten wurde noch openssl für die Generierung von SSH-Schlüsseln und SSL-Zertifikaten und imagemagick für das Mediawiki benötigt: openssl imagemagick # apt-get install openssl imagemagick 6

7 5. Konfiguration 5.1. Netzwerk Das Template für den LAMP-Server hat laut /etc/network/interfaces folgende IP- Einstellungen: auto lo iface lo inet loopback # The primary network interface auto eth0 iface eth0 inet static address x # <- kundenspezifische Einstellung netmask network broadcast gateway dns-nameservers dns-search abc.tu-berlin.de Diese Einstellungen sind für jeden Kunden separat angepasst. Wenn ein neuer Clone in Betrieb genommen wird, MUSS die ID der LAN-Karte im UDEV entfernt werden. Dazu wurden die Einträge aus der /etc/udev/rules.d/70-persistent-net.rules entfernt, weil die Netzwerkkarte des ursprünglichen LAMP-Templates eine andere Netzwerkkarte darstellt. Durch die Entfernung wird erreicht, dass eth0 der jetzt realen Netzwerkkarte des neuen LAMP-Servers (Clone) zugewiesen wird. Nach einem Neustart werden die Netzwerkkarten neu erkannt und eingetragen Bash Aliases Damit gewisse Befehle leichter benutzt werden können, wurden Aliases in der.bashrc angelegt: alias..='cd..' alias...='cd../../' alias cd..='..' alias rt='route -n' alias lt='ls -latr' #ls showing all, timesorted, reversed and long alias l='ls -a' alias ll='ls -la' alias p='ping' History Completion Für eine HistoryCompletion muss in dem Home-Verzeichnis des Benutzers eine.inputrc- Datei angelegt werden und folgende Zeilen dort eingefügt werden:

8 "\e[a": history-search-backward "\e[b": history-search-forward "\M-[3~": delete-char "\e[c": forward-char "\e[d": backward-char Wenn Sie Änderungen an den Konfigurationsdateien der Bash vornehmen, werden die Änderungen mit folgenden Befehl wirksam: # exec bash Danach können Sie mit den Pfeil-Tasten in der Bash-History vorausgegangene Befehle abrufen. Ein Beispiel: Sie haben folgende Befehle zuvor eingetippt: ls la, less /etc/hosts, hostname f Wenn Sie nun in der Kommandozeile das kleine l eingeben, können Sie mit den Pfeil-Tasten zwischen allen bisher eingegebenen Befehlen, die mit dem kleinen l anfangen (hier: ls la, less /etc/hosts ), wechseln Crontab Folgende Einträge wurden mit crontab -e eingerichtet: # m h dom mon dow command # backup-jobs 0 1 * * * /bin/sh /root/scripts/backup_etc.sh 20 1 * * * /bin/sh /root/scripts/backup_htdocs.sh 40 1 * * * /bin/sh /root/scripts/dumpmysql.sh 0 3 * * * /bin/sh /root/scripts/deleteoldbackups.sh # updates * * /bin/sh /usr/bin/apt-get update * * /bin/sh /usr/bin/apt-get -y upgrade Der Zeitdienst ntpdate ist vorläufig eingerichtet in der Datei /etc/cron.d/ntpdate: # m h dom mon dow user command 0-59/10 * * * * root /usr/sbin/ntpdate >> /var/log/messages Normalerweise wird die Zeit über das Paket VMware Tools synchronisiert. Derzeit ist diese Option wegen fehlerhafter Synchronisation aber ausgeschaltet. In einem zukünftigen Release der VMware Tools sollte das behoben sein, so dass diese Datei gelöscht werden kann. 8

9 5.4. iptables Auf den LAMP-Server soll jeder von außen über HTTP, HTTPS und SSH zugreifen dürfen. Der Rest, ICMP ausgenommen, wird vorerst verboten. Dazu gibt es folgendes Firewall-Skript: #!/bin/bash # Destination of the firewall command. FWCMD='/sbin/iptables' # Interfaces of the maschine # extern interface to the whole world EXT_IF='eth0' # loop-device for local communication only LOC_IF='lo' # Flushing firewall echo "flushing firewall"./flushfirewall.sh # Definition of global rules. echo "defining policies" $FWCMD -P INPUT DROP $FWCMD -P FORWARD ACCEPT $FWCMD -P OUTPUT ACCEPT # Every connection out is allowed and the way back too, stateful \ connection. echo "adding statefulness" $FWCMD -A INPUT -i $EXT_IF -m state --state ESTABLISHED,RELATED -j ACCEPT # Allow all connections out echo "allow out" $FWCMD -A OUTPUT -j ACCEPT #loopback rules $FWCMD -A INPUT -i $LOC_IF -j ACCEPT $FWCMD -A OUTPUT -o $LOC_IF -j ACCEPT # Allow SSH echo "allow ssh" $FWCMD -A INPUT --protocol tcp --dport 22 -j ACCEPT # Allow HTTP echo "allow HTTP" $FWCMD -A INPUT -i $EXT_IF --protocol tcp --dport 80 -j ACCEPT # Allow HTTPS echo "allow HTTPS" $FWCMD -A INPUT -i $EXT_IF --protocol tcp --dport 443 -j ACCEPT echo "allow ICMP" $FWCMD -A INPUT -i $EXT_IF -p icmp -j ACCEPT $FWCMD -A OUTPUT -o $EXT_IF -p icmp -j ACCEPT # Dropping all other packets echo "else drop" $FWCMD -A INPUT -i $EXT_IF -j DROP

10 Das Skript zum kompletten Flushen der iptables: #!/bin/sh # Iptables FW="/sbin/iptables" # deleting existing rules and chains $FW -F $FW -t nat -F $FW -t mangle -F $FW -X $FW -t nat -X $FW -t mangle -X # reset standard rules $FW -P INPUT ACCEPT $FW -P FORWARD ACCEPT $FW -P OUTPUT ACCEPT Nach dem Flushen sind die Regeln nur temporär entfernt. Nach einem Neustart des Systems wird das init.d-skript ausgeführt und der bestehende Filter-Schutz wieder hergestellt. Kurz beschrieben ist folgendes erlaubt: SSH HTTP HTTPS ICMP alle Verbindungen nach draußen vom lamp-server alle Verbindungen, die nach außen aufgebaut wurden (established), dürfen zurück verbinden SSH-Server Damit der root-benutzer nicht durch Brute-Force-Attacken geknackt werden kann, lassen wir nur den Benutzer lamp für ein Login von außen zu. In der /etc/ssh/sshd_config wird dazu der Eintrag PermitRootLogin auf no gesetzt: PermitRootLogin no 5.6. Lokale Benutzer Damit Sie sich im VCenter mit dem root-benutzer anmelden können, wurde ein Passwort erzeugt. Möchten Sie den Login von root wieder deaktiveren, so rufen Sie folgenden Befehl auf: # passwd l root Um den root-benutzer wieder zu aktivieren, können Sie statt der l-option die u-option benutzen. Das Passwort ist wie das zum Zeitpunkt der Deaktivierung: $ sudo passwd u root 10

11 5.7. Apache2 Unter Debian-basierten Systemen, wie Ubuntu, gibt es eine spezielle Struktur der Module und VHosts. So gibt es einerseits verfügbare und andererseits aktive Module/VHosts. Alle verfügbaren und installierten Module für Apache2 befinden sich unter /etc/apache2/modsavailable/, analog die VHosts unter /etc/apache2/sites-available/. Möchten Sie ein Modul oder einen VHost aktivieren, können Sie die dazugehörigen Programme nutzen. Mit a2enmod und a2ensite aktivieren Sie das Modul oder den VHost und mit a2dismod und a2dissite deaktivieren Sie das Modul oder den VHost. Das HTDOCS-Verzeichnis des Apache liegt unter /var/www/ ip based vhost anlegen # cd /etc/apache2/sites-available/ # ins Apache2-Konfigurations-Verzeichnis gehen # cp default ipbasedhost # default-konfiguration kopieren # a2dissite default # default-konfiguration deaktivieren # a2ensite ipbasedhost # ipbasedhost-konfiguration aktivieren Danach Datei ipbasedhost anpassen und folgendes für den http-vhost eintragen: <VirtualHost x:80> #<- kundenspezifische Einstellung ServerAdmin webmaster@localhost DocumentRoot /var/www/ <Directory /> Options FollowSymLinks AllowOverride None </Directory> <Directory /var/www/> Options -Indexes FollowSymLinks MultiViews AllowOverride AuthConfig Order allow,deny allow from all </Directory> ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ <Directory "/usr/lib/cgi-bin"> AllowOverride None Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch Order allow,deny Allow from all </Directory> ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, # crit, alert, emerg. LogLevel warn CustomLog /var/log/apache2/access.log combined ServerSignature On Alias /doc/ "/usr/share/doc/" <Directory "/usr/share/doc/"> Options Indexes MultiViews FollowSymLinks AllowOverride None Order deny,allow Deny from all Allow from / ::1/128 </Directory> </VirtualHost> Direkt in dieselbe Datei tragen wir den VHost für HTTPS ein: 11

12 <VirtualHost x:443> #<- kundenspezifische Einstellung #SSL configurations SSLEngine On SSLCertificateKeyFile /etc/apache2/ssl/server.key SSLCertificateFile /etc/apache2/ssl/server.pem ServerAdmin DocumentRoot /var/www/ <Directory /> Options FollowSymLinks AllowOverride None </Directory> <Directory /var/www/> Options -Indexes FollowSymLinks MultiViews AllowOverride AuthConfig Order allow,deny allow from all </Directory> ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ <Directory "/usr/lib/cgi-bin"> AllowOverride None Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch Order allow,deny Allow from all </Directory> ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, # crit, alert, emerg. LogLevel warn CustomLog /var/log/apache2/access.log combined ServerSignature On Alias /doc/ "/usr/share/doc/" <Directory "/usr/share/doc/"> Options Indexes MultiViews FollowSymLinks AllowOverride None Order deny,allow Deny from all Allow from / ::1/128 </Directory> </VirtualHost> SSL aktivieren SSL-Modul laden: # cd /etc/apache/mods-available/ # a2enmod ssl 12

13 Die Zertifikate erstellen wir unter /etc/apache2/ssl. Dazu: # cd /etc/apache2/ # mkdir ssl Die erstellt für jeden Kunden ein separates selbstunterschriebenes Zertifikat. Die Zertifikate sind nach dem Hostnamen benannt (hier nur beispielhaft für das LAMP-Template skizziert): # openssl req -new -days 730 -x509 -nodes -out server.pem -keyout server.key Es wird empfohlen, sich vom DFN signierte Zertifikate zu erstellen. Weitere Informationen für die Beantragung und Erstellung von DFN-signierten Zertifikaten finden Sie hier: Die Rechte der Schlüssel müssen im Anschluss noch geändert/kontrolliert werden (nur root darf den privaten Schlüssel lesen): # cd /etc/apache2/ssl # chmod 400 *.key* # chmod 444 *.crt In die VHOST-Datei /etc/apache2/sites-available/ipbasedhost müssen noch SSL-Optionen eingetragen werden (oben schon geschehen): <VirtualHost x:443> #SSL configurations SSLEngine On SSLCertificateKeyFile /etc/apache2/ssl/server.key SSLCertificateFile /etc/apache2/ssl/server.pem Am Ende Apache2 neustarten: # /etc/init.d/apache2 restart 5.8. MySQL Für die Konfiguration nehmen wir phpmyadmin. Dort loggen wir uns mit dem entsprechenden Passwort via Browser ein. Erreichbar ist das Ganze unter: http(s)://<vollständiger Hostname Ihres Servers>/phpmyadmin/ 13

14 Die hat folgende Datenbanken erstellt: wikidb wpdb zusätzlich folgende Benutzer: wikiuser wpuser Der wikiuser bekam alle Rechte nur auf die wikidb. Analog der wpuser. Die Benutzer dürfen nur von localhost auf die Datenbank zugreifen, es wurde nur jeweils ein Benutzer wikiuser und wpuser mit Host localhost eingerichtet Mediawiki Wurde kein Mediawiki von Ihnen angefordert, wird es deinstalliert. Die Mediawiki-Dateien liegen unter /var/lib/mediawiki/. Für das Mediawiki wird ein MySQL-Benutzer benötigt, der die Rechte für eine Datenbank besitzt (vergleiche MySQL). Bevor wir das Setup vom Mediawiki aufrufen können, wurde ein symbolischer Link im HTDOCS-Verzeichnis erstellt (Voraussetzung: Option FollowSymLink muss in der Directory- Direktive bei Apache2 aktiviert sein): # ln -s /var/lib/mediawiki /var/www/mediawiki Wenn die alle benötigten Kunden-Daten hat, kann das Setup des Mediawikis aufgerufen und durchgeführt werden: http(s)://<vollständiger Hostname Ihres Servers>/mediawiki/ Dort wurden die Felder entsprechend von der ausgefüllt: WikiSysop + Passwort DB-Name DB-User + Passwort (nicht mit root) Sprache Table-Prefix: mw_ (vielleicht wollen Sie mehrere Instanzen eines Mediawikis laufen lassen) usw. Die LocalSettings.php wurde an die richtige Stelle verschoben: # cd /etc/mediawiki/ # mv /var/lib/mediawiki/config/localsettings.php. Die Rechte wurden so gesetzt, dass nicht jeder Benutzer des Systems die Datei lesen darf: 14

15 # cd /etc/mediawiki/ # chmod 660 LocalSettings.php Beschränkungen Die Beschränkungen werden in die /etc/mediawiki/localsetting.php eingetragen: #Wer darf einen neuen Account einrichten? $wgwhitelistaccount = array ( "user" => 0, "sysop" => 1, "developer" => 1, "lesender" => 0, "schreibender" => 0); #Was darf die Gruppe "lesender" $wggrouppermissions['lesender']['read'] = true; $wggrouppermissions['lesender']['createaccount'] = false; $wggrouppermissions['lesender']['edit'] = false; #Was darf die Gruppe "schreibender" $wggrouppermissions['schreibender']['read'] = true; $wggrouppermissions['schreibender']['createaccount'] = false; $wggrouppermissions['schreibender']['edit'] = true; # Jeder ist in der Gruppe user; damit die anderen Gruppen-Rechte gelten, # darf die Gruppe user keine Schreibrechte besitzen. $wggrouppermissions['user']['edit'] = false; $wggrouppermissions['sysop']['edit'] = true; $wggrouppermissions['*']['createaccount'] = false; $wggrouppermissions['*']['edit'] = false; # Pages anonymous (not-logged-in) users may see $wgwhitelistread = array ("Spezial:Userlogin"); $wggrouppermissions['*']['read'] = false; Bilder-Upload Standardmäßig ist der Bilder-Upload bei einem Mediawiki deaktiviert, um diesen zu aktivieren, müssen Sie gewissen Optionen in der LocalSettings.php einkommentieren/ändern. Folgende Einträge werden eingetragen (ImageMagick muss installiert sein): $wgenableuploads = true; $wguseimageresize = true; $wguseimagemagick = true; $wgimagemagickconvertcommand = "/usr/bin/convert"; Nachdem dies geschehen ist, müssen noch die Zugriffsrechte des Bilder-Ordners geändert werden: # cd /var/lib/mediawiki/ # chown root:www-data images/ # chmod g+rwx images/ 15

16 Jetzt können Sie über das Werzeuge-Menu im Mediawiki Bilder Hochladen Dateien uploaden Nachdem der Bilder-Upload aktiviert wurde, stehen nur folgende Uploads zur Verfügung: jpeg jpg png gif In der /etc/mediawiki/localsettings.php können Sie dann mit der Option $wgfileextensions = array( 'cf', 'conf', 'doc', 'gif', 'gz', 'jpg', \ 'jpeg', 'ogg', 'pdf', 'png', 'ppt', 'ppk', 'ps', 'pub', 'rdp', 'sh', \ 'svg', 'txt', 'xls', 'zip' ); zusätzliche Dateitypen aktivieren. Die hier aufgeführten Dateiendungen sind nur exemplarisch. Welche Dateiendungen Sie freigeben, bleibt Ihnen überlassen. Damit bei etwas größeren Dateien nicht immer Warnungen oder Fehler kommen, kann man ebenfalls in der /etc/mediawiki/localsettings.php die UploadSize erhöhen: wguploadsizewarning = 150 * 1024; # default-einstellung (Byte * 1024) Referenz: Wenn Sie Dateien, die größer als 2 Megabyte sind, hochladen wollen, müssen Sie die PHP- Einstellungen ändern. Mit der Option upload_max_filesize können Sie in der /etc/php5/apache2/php.ini die maximale Dateigröße spezifizieren: upload_max_filesize = 2M Wordpress Nach der Installation landet das Wordpress unter /usr/share/wordpress/. Wurde kein Wordpress von Ihnen angefordert, wird es deinstalliert. Damit wir das erreichen (Die Option FollowSymLink muss in der Directory-Direktive bei Apache2 aktiviert sein), erstellen wir einen symbolischen Link: # ln -s /usr/share/wordpress/ /var/www/wordpress Da das Wordpress eine ubunturisierte Version ist, gibt es ein paar Kleinigkeiten zu beachten. Die Konfiguration liegt unter /etc/wordpress. Allerdings sind dort nicht die Verbindungsdaten für die MySQL-Datenbank enthalten. Das Wordpress sucht die MySQL-Einstellungen unter /etc/wordpress/conf-<vollständiger Hostname Ihres Servers>.php. Deshalb erstellen wir diese Datei aus der Template-Konfigurations-Datei aus dem Wordpress selbst: 16

17 # cd /etc/wordpress/ # cp /var/www/wordpress/wp-config-sample.php. # mv wp-config-sample.php conf-<fqhn>.php Danach editieren wir die Datei /etc/wordpress/conf-< Vollständiger Hostname Ihres Servers >.php <?php // ** MySQL settings ** // define('db_name', 'wpdb'); // The name of the database define('db_user', 'wpuser'); // Your MySQL username define('db_password', 'xxxxxxxx'); //...and password define('db_host', 'localhost'); // 99% chance you won't need to change this define('db_charset', 'utf8'); define('db_collate', ); $table_prefix = 'wp_'; // Only numbers, letters, underscores please! // Change this to localize WordPress. A corresponding MO file for the // chosen language must be installed to wp-content/languages. // For example, install de.mo to wp-content/languages and set WPLANG to 'de' // to enable German language support. define ('WPLANG', 'de_de');?> Als letztes muss noch ein Titel und eine -Adresse eingetragen werden. Danach erfährt man das Passwort für den Benutzer admin. Das Wordpress ist dann erreichbar unter: http(s)://<vollständiger Hostname Ihres Servers>/wordpress/ Um sich in das Wordpress einloggen zu können, können Sie den Weg über den Link auf der Startseite gehen oder den Direktlink Hostname Ihres Servers>/wordpress/wp-login.php benutzen. Damit die Sprache innerhalb des Wordpress sich ändert, müssen noch einige Kleinigkeiten gemacht werden. Die Sprach-Datei (de_de.mo) muss runtergeladen werden und in das Verzeichnis /var/www/wordpress/wp-content/languages/ kopiert werden: # cd var/www/wordpress/wp-content/languages/ # wget c Damit alles in der deutschen Sprache angezeigt wird, muss noch ein deutsches Thema installiert werden. Das wird dem Kunden überlassen, folgende Quellen dienen als Hilfe: 17

18 5.11. PhpMyAdmin Zur Verwaltung der MySQL-Datenbank gibt es das Webbrowser-basierte Frontend. Dort können Sie beqeuem Einstellungen an Ihrer MySQL-Datenbank vornehmen. PhpMyAdmin ist unter folgendem URL erreichbar: Hostname Ihres Servers>/phpmyadmin/ Für den Verweis gibt es unter Apache2 im Verzeichnis /etc/apache2/conf.d/ einen Alias- Eintrag, der das Verzeichnis phpmyadmin verfügbar macht. Deshalb ist kein symbolischer Link im HTDOCS-Verzeichnis unter /var/www/ angelegt worden. Möchten Sie Änderungen vornehmen, dann können Sie die Konfiguration unter /etc/phpmyadmin/ finden. Die Anmeldung erfolgt mit den MySQL-Benutzern. 6. Backup Die Backups schließen folgende Sachen ein: etc-verzeichnis HTDOCS-Verzeichnis MySQL-Dump Die Backups werden nach drei Tagen automatisch via Skript deleteoldbackups.sh gelöscht. #!/bin/sh # deletes all files in the BACKUPDIR older than 3 days # basepath of the backup BACKUPDIR="/var/backup" # number of days to expire TAGE="3" # deleteing MySQL-dumps find $BACKUPDIR/mysql -type f! -mtime -$TAGE -exec rm \{\} \; # deleting HTDOCS.tar.gz find $BACKUPDIR/www -type f! -mtime -$TAGE -exec rm \{\} \; # deleting etc.tar.gz find $BACKUPDIR/etc -type f! -mtime -$TAGE -exec rm \{\} \; Alle Skripte liegen unter /root/scripts/. In der crontab werden die Skripte eingetragen: # m h dom mon dow command # backup-jobs 0 1 * * * /bin/sh /root/scripts/backup_etc.sh 20 1 * * * /bin/sh /root/scripts/backup_htdocs.sh 40 1 * * * /bin/sh /root/scripts/dumpmysql.sh 0 3 * * * /bin/sh /root/scripts/deleteoldbackups.sh 6.1. MySQL Die Dumps werden pro Datenbank durchgeführt, kein Gesamt-Dump aller Datenbanken. In showdatabases.sql steht nur ein SQL-Befehl (show databases;), der nötig ist, die 18

19 Datenbanknamen ohne Formatierung auszugeben (Ich habe noch keinen anderen Weg gefunden). Die erste Zeile muss übersprungen werden, da das der Tabellenkopf ist und nur beschreibenden Charakter hat. Der Dump wird gleich mit gzip komprimiert und ins Backup- Verzeichnis kopiert. #!/bin/sh # searching the databases in MySQL DB=`mysql -u root --password='xxxxxxxx' < \ /root/scripts/showdatabases.sql` DATE=`date +%Y-%m-%d_%H.%M` BACKUP_PATH="/var/backup/mysql" MYSQLDUMP_CMD="/usr/bin/mysqldump" if [! -d $BACKUP_PATH ]; then mkdir -p $BACKUP_PATH fi for i in $DB do if [ $i = "Database" ]; then echo "skipping tablehead" else echo "> $i" # dump will be compressed with gzip $MYSQLDUMP_CMD -u root --password='xxxxxxxx' \ --add-drop-table $i gzip -9 > $BACKUP_PATH/${DATE}.$i.gz done # uncomment the line beneath for uncompressed dumps #$MYSQLDUMP_CMD -u root --password='xxxxxxxx' \ --add-drop-table $i > $BACKUP_PATH${DATE}.$i fi 6.2. HTDOCS Bei den htdocs wird nur das Verzeichnis /var/www gesichert. Symbolischen Links wird nicht gefolgt, da der Inhalt nur in der Datenbank steckt und die Konfigurationen unter /etc. 19

20 #!/bin/bash ################################################################### # Backup the complete htdocs-directory without following symlinks # ################################################################### BACKUPDIR="/var/backup" # backup basedir DATE=`date +%Y-%m-%d_%H.%M` # date in a special format # test if the backup destination exists if [! -d $BACKUPDIR/www ]; then mkdir -p $BACKUPDIR/www fi tar cvzf $BACKUPDIR/www/${DATE}. /var/www if [ -d /var/lib/mediawiki/ ]; then tar cvzf $BACKUPDIR/www/${DATE}.www_mediawiki.tar.gz \ /var/lib/mediawiki/ /usr/share/mediawiki/ fi if [ -d /var/lib/wordpress/ ]; then tar cvzf $BACKUPDIR/www/${DATE}.www_wordpress.tar.gz \ /var/lib/wordpress/ /usr/share/wordpress / fi 20

21 6.3. /etc Das komplette etc-verzeichnis wird gesichert, damit die Konfigurationen von Apache2, MySQL, Mediawiki, Wordpress usw. gesichert sind. Ziel-Verzeichnis der Sicherung ist /var/backup/etc/. #!/bin/bash ##################################### # Backup the complete etc-directory # ##################################### BACKUPDIR="/var/backup" # backup basedir DATE=`date +%Y-%m-%d_%H.%M` # date in a special format # test if the backup destination exists if [! -d $BACKUPDIR/etc ]; then mkdir -p $BACKUPDIR/etc fi tar cvzf $BACKUPDIR/etc/${DATE}.etc.tar.gz /etc 6.4. Updates Es werden die aktuellsten Paketinformationen immer am 1.Tag des Monats um 5:40 Uhr geholt und zehn Minuten später installiert. Die Option -y bedeutet, dass immer yes als Antwort bei der Installation angenommen wird. # m h dom mon dow command # updates * * /bin/sh /usr/bin/apt-get update * * /bin/sh /usr/bin/apt-get -y upgrade 7. Wo finde ich was? 7.1. Mediawiki Die Konfiguration liegt unter /etc/mediawiki/. Einstellungen können in der LocalSettings.php vorgenommen werden. Sie können das Mediawiki innerhalb Ihres Browser mit folgendem URL erreichen (Die empfiehlt den https-url. Somit kann die Übertragung von Klartextpasswörtern vermieden werden.): http(s)://< Vollständiger Hostname Ihres Servers>/mediawiki/ 7.2. Wordpress Die Konfiguration liegt unter /etc/wordpress/. Einstellungen können in der /etc/wordpress/config-<vollständiger Hostname Ihres Servers>.php vorgenommen werden. Sie können das Wordpress innerhalb Ihres Browser mit folgendem URL erreichen (Die empfiehlt den https-url. Somit kann die Übertragung von Klartextpasswörtern vermieden werden.): http(s)://< Vollständiger Hostname Ihres Servers>/wordpress/

22 7.3. PhpMyAdmin Um nicht auf der Kommandozeile die Konfiguration Ihres MySQL-Servers vornehmen zu müssen, ist das graphische Frontend PhpMyAdmin installiert. Sie können PhpMyAdmin innerhalb Ihres Browser mit folgendem URL erreichen (Die empfiehlt den https-url. Somit kann die Übertragung von Klartextpasswörtern vermieden werden.): http(s)://<vollständiger Hostname Ihres Servers>/phpmyadmin/ 7.4. Apache2 Die Konfigurationen werden in verschiedene Teile aufgesplittet: Modul- und Host- Konfiguration. Die geladenen Module befinden sich unter /etc/apache2/mods-enabled. Alle verfügbaren Module befinden sich unter /etc/apache2/mods-available. Analog dazu befinden sich die Hostkonfigurationen unter /etc/apache2/sites-enabled und /etc/apache2/sitesavailable. Im Verzeichnis /etc/apache2/sites-available liegen die eigentlichen Konfigurationsdateien und werden via a2ensite aktiviert. Dadurch wird ein symbolischer Link im Verzeichnis /etc/apache2/sites-enabled angelegt. Die Datei /etc/apache2/sitesavailable/ipbasedhost ist die Konfiguration von Ihrem LAMP-Server und implementiert einen IP basierten virtuellen Host. Das htdocs-verzeichnis befindet sich unter /var/www/. Die virtuellen Hosts (http und https) haben beide als htdocs-verzeichnis das /var/www/-verzeichnis SSL Die Zertifikate liegen unter /etc/apache2/ssl/ und sind in der /etc/apache2/sitesavailable/ipbasedhost referenziert. Ihre initialen Zertifikate bestehen aus einer PEM-Datei (öffentlicher Schlüssel) und aus einer KEY-Datei (dem privaten Schlüssel). Achten Sie darauf, dass Sie die Rechte so setzen, dass nicht jeder den privaten Schlüssel lesen kann. Die empfiehlt Ihnen, vorausgesetzt Sie haben einen Hostnamen innerhalb der tu-berlin.de- Domain, sich ein DFN-zertifiziertes Zertifikat einzurichten (weitere Informationen finden Sie hier: ) Firewall Das Skript firewall.sh befindet sich unter /root/scripts/. Die Firewall wird automatisch beim Start des System geladen. Die Startskripte befinden sich in den rc -Verzeichnissen des Systems: /etc/init.d/firewall /etc/rc2.d/s15firewall(symlink) /etc/rc3.d/s15firewall(symlink) /etc/rc4.d/s15firewall(symlink) /etc/rc5.d/s15firewall(symlink) Zum flushen (Rücksetzen) der Firewall gibt es ebenfalls unter /root/scripts/ das Skript flushfirewall.sh. Die Firewall stellt nur einen grundlegende Schutz dar Backup Es gibt drei Backup-Arten: MySQL, etc-verzeichnis und das htdocs-verzeichnis. Alle diese drei Backups werden nach /var/backup/ gespeichert. Die Skripte zum Erzeugen der Backups liegen wieder unter /root/scripts/ und sind in der crontab eingetragen. 22

23 8. Welche Benutzer und Passwörter gibt es initial? 8.1. Lokale Accounts Es gibt zwei lokale Accounts, root und lamp. Benutzername : root Passwort : Benutzername : lamp Passwort : LMzN_wmA3! 8.2. Mediawiki Für das Mediawiki gibt es einen Administrator-Zugang. Die Groß- und Kleinschreibung ist wichtig: Benutzername : WikiSysop Passwort : differiert von Kunde zu Kunde Bitte ändern Sie UMGEHEND dieses Passwort Wordpress Für das Wordpress gibt es einen Administrator-Zugang: Benutzername : admin Passwort : differiert von Kunde zu Kunde Bitte ändern Sie UMGEHEND dieses Passwort MySQL Innerhalb von MySQL gibt es drei verschiedene Benutzer von denen Sie die Zugangsdaten brauchen könnten: Benutzername : root Passwort : differiert von Kunde zu Kunde Beschreibung : Administrativer Benutzer für die MySQL-Datenbank. Benutzername : wikiuser Passwort : e9n!&vzl Beschreibung : Datenbank-Benutzer für das Wiki. Benutzername : wpuser Passwort : lzv&!n9e Beschreibung : Datenbank-Benutzer für das Wordpress. Bitte ändern Sie UMGEHEND diese Passwörter (siehe Abschnitt: Wie ändere ich die Passwörter?). 9. Wie ändere ich die Passwörter? Bei der Änderung der Passwörter sind einige Fallstricke zu beachten. Wenn Sie die Passwörter in php-dateien ändern, sollte Ihr Passwort keine " enthalten, da Sie sonst die Zeichenkette beenden und damit einen PHP-Fehler provozieren. Wenn Sie ganz sicher gehen wollen, dann benutzen Sie nur die unten aufgeführten Zeichen: ,:.-_äöüÄÖÜ*+?ß=)(/&%! abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvwxyz 23