Dolibarr ERP CRM Wiki - User contributions [en]

ModSecurity für Dolibarr

2022-05-25T14:19:04Z

Scalar: /* Aktiviere OWASP Core Regel Set */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/</nowiki>v3.3.2.tar.gz

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T14:12:12Z

Scalar: /* Aktiviere OWASP Core Regel Set */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/</nowiki>>v3.3.2.tar.gz

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T14:11:45Z

Scalar: /* Aktiviere OWASP Core Regel Set */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/\v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T14:11:17Z

Scalar: /* Aktiviere OWASP Core Regel Set */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T14:10:01Z

Scalar: /* Aktiviere OWASP Core Regel Set */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T14:08:12Z

Scalar: /* Aktiviere OWASP Core Regel Set */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget https://github.com/coreruleset/coreruleset/archive/v3.3.2<nowiki/>.tar.gz

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T14:07:14Z

Scalar: /* Aktiviere OWASP Core Regel Set */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2</nowiki><nowiki/>.tar.gz

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T14:06:01Z

Scalar: /* Aktiviere OWASP Core Regel Set */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2</nowiki><nowiki></nowiki>.tar.gz

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T13:57:30Z

Scalar: /* Installieren von ModSecurity v3 */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-25T13:40:50Z

Scalar: /* Download Nginx Source Packet */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN /usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

Installieren und Härten von Dolibarr

2022-05-24T14:35:31Z

Scalar: /* Information über Server Updates und Upgrades */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod='0'; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellite system aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
#sollten Ihr Server nicht der localhost sein das anpassen
myhostname = localhost
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.

==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen
cp /etc/cron.d/apticron /etc/cron.d/apticron.bak

nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Benutzerdokumentation

2022-05-12T09:25:19Z

Scalar: /* Installation | Upgrade | Setup */

[[en:User_documentation]]
[[es:Documentación_usuarios]]
[[fr:Documentation_utilisateur]]
[[pt:Documentação dos utilizadores]]
[[zh:用户手册]]
[[ro:Documentaţie utilizator]]


{{TemplateDocUserDE}}

<seo metak="Benutzer, Dokumentation, Handbuch, doc, Anleitung, Gebrauch, Hilfe" />
Dies ist die Startseite der Dokumentation für Benutzer*innen.
Für die Entwickler-Dokumentation bitte [[Developer documentation| hier klicken]] (Text: englisch).

=Features=

*[[Was_macht_Dolibarr| Was Sie mit Dolibarr tun können]]
*[[What_Dolibarr_can%27t_do| Was Sie mit Dolibarr nicht machen können (engl.)]]

=Installation | Upgrade | Setup=

*[[Voraussetzungen | Voraussetzungen]]
*[[Installation - Upgrade]] ''(englisch)''
*[[Installieren und Härten von Dolibarr|Installation und härten]] ''(german)''
** ''[[ModSecurity für Dolibarr|Install ModSecurity für Dolibarr]] (german)''
*[[Grundeinstellungen]]

=Administration=

*Migration: [[Mass_imports|Mass imports]] / [[ExportsEn|Exports]]
*[[Backups]] / [[Restores]]

=Erste Schritte=
Nachdem die Installation erfolgreich beendet wurde (vielleicht auch nicht durch Sie sondern einen Admin, siehe voriges Kapitel), lesen Sie (als Benutzer) bitte zunächst die allgemeinen Infos:

*[[Erste Schritte|Allgemeine Benutzerinformationen]] (Erste Schritte)

Nachdem Sie den grundsätzlichen Verwendungszweck von Dolibarr verstanden haben, sollten Sie einen Blick auf die Dokumentationen der einzelnen Standard-Module werfen.

=Einsatzmöglichkeiten (nach Modulen)=
Um Dolibarr zu nutzen, sind Kenntnisse über die einzelnen Module und deren Möglichkeiten notwendig.

Wählen Sie das für Sie interessante Modul und lesen Sie die Dokumentation:

*Die Liste der Standardmodule ist hier zu finden: [[:Category:Liste der Module|Liste der Module - auf deutsch erst im Aufbau]], die vollständige englische Seite [[:Category:List of Modules|deshalb weiterhin hier]].
*Die Liste aller anderen (Zusatz-) Module ist hier zu finden: [[:Category:Complementary modules|Ergänzungsmodule]] (engl.)

=Glossar=
Siehe Seite [[Glossar]]

=FAQ (häufig gestellte Fragen)=
Alle FAQ sind über die Startseite erreichbar [[:Category:FAQ EN|FAQ]] (englisch)

User documentation

2022-05-12T09:24:54Z

Scalar: /* Installation | Upgrade | Setup */

[[es:Documentación_usuarios]]
[[fr:Documentation_utilisateur]]
[[de:Benutzerdokumentation]]
[[zh:用户手册]]
[[ro:Documentaţie utilizator]]
[[pt:Documentação_dos_utilizadores]]


<seo metak="user, documentation, guide, doc, tutorial, usage, help" />
This page is the main index of documents relating to user documentation. For developer documentation, [[Developer documentation|see here]].

=Quick overview of Features=

*[[What Dolibarr Do|What Dolibarr is, What Dolibarr can do]]
*[[What Dolibarr can't do|What Dolibarr is not, What Dolibarr can't do]]

=Installation | Upgrade | Setup=

*[[Prerequisite|Prerequisites]]
*[[Installation - Upgrade]]
*[[Installieren und Härten von Dolibarr|Installation and hardening]] ''(germen)''
** ''[[ModSecurity für Dolibarr|Install ModSecurity für Dolibarr]] (german)''
*[[First setup|Setup]]

Documentation on how to use Dolibarr is provided in next chapters

=Administration=

*Migration: [[Mass_imports|Mass imports]] / [[ExportsEn|Exports]]
*[[Backups]] / [[Restores]]
*[[About_pages|About pages]]
*[[Upgrade]]
*[[Purge]]
*[[Audit]]
*[[Users_Sessions|Users Sessions]]
*[[Global_VAT_Update|Global VAT Update]]
*[[Module_Scheduled_jobs|Scheduled Jobs]]
*[[Direct_Printing_jobs|Direct Printing jobs]]
*[[Mass_barcode_init|Mass barcode init]]

=Usage (by modules / applications)=
Knowing how to use Dolibarr is knowing how to use its modules, menus, and features.
First, once the installation step is complete (see previous chapters), let's have a look at general information on usage:

*[[General information on usage]] (First steps).

Once general usage is understood, you can have a look at the documentation about all standard business modules. Choose the module you are interested in to see its documentation. Standard modules are modules available by default in all common installation. This is a list of main modules (also available on page [[:Category:List of Modules|List of Modules]]):
{{#dpl:
|category=List of Modules
|ordermethod=title
|order=ascending
|format = <ul type="disc">,<li>[[%PAGE%]],</li>,</ul>
|columns=3
|rowcolformat=width=100%
}}

External modules are modules you can get on other sources than official sources. They are provided by third parties. Most of them can be found in the marketplace https://www.dolistore.com. List of external modules is defined on the page [[:Category:Complementary modules|Complementary modules]].

=Glossary=
See page [[Glossary]]

=FAQ=
All FAQ are available through the index page [[:Category:FAQ EN|FAQ EN]]

=Video Tutorials=
The association Dolibarr has started making video tutorials on the basic functions of Dolibarr [[Video Tutorials]]

[[Category:Proofreading done]]

Benutzerdokumentation

2022-05-12T09:23:25Z

Scalar: /* Installation | Upgrade | Setup */

[[en:User_documentation]]
[[es:Documentación_usuarios]]
[[fr:Documentation_utilisateur]]
[[pt:Documentação dos utilizadores]]
[[zh:用户手册]]
[[ro:Documentaţie utilizator]]


{{TemplateDocUserDE}}

<seo metak="Benutzer, Dokumentation, Handbuch, doc, Anleitung, Gebrauch, Hilfe" />
Dies ist die Startseite der Dokumentation für Benutzer*innen.
Für die Entwickler-Dokumentation bitte [[Developer documentation| hier klicken]] (Text: englisch).

=Features=

*[[Was_macht_Dolibarr| Was Sie mit Dolibarr tun können]]
*[[What_Dolibarr_can%27t_do| Was Sie mit Dolibarr nicht machen können (engl.)]]

=Installation | Upgrade | Setup=

*[[Voraussetzungen | Voraussetzungen]]
*[[Installation - Upgrade]] ''(englisch)''
*[[Installieren und Härten von Dolibarr|Installation und härten]] ''(german)''
*[[ModSecurity für Dolibarr|Install ModSecurity für Dolibarr]] ''(german)''
*[[Grundeinstellungen]]

=Administration=

*Migration: [[Mass_imports|Mass imports]] / [[ExportsEn|Exports]]
*[[Backups]] / [[Restores]]

=Erste Schritte=
Nachdem die Installation erfolgreich beendet wurde (vielleicht auch nicht durch Sie sondern einen Admin, siehe voriges Kapitel), lesen Sie (als Benutzer) bitte zunächst die allgemeinen Infos:

*[[Erste Schritte|Allgemeine Benutzerinformationen]] (Erste Schritte)

Nachdem Sie den grundsätzlichen Verwendungszweck von Dolibarr verstanden haben, sollten Sie einen Blick auf die Dokumentationen der einzelnen Standard-Module werfen.

=Einsatzmöglichkeiten (nach Modulen)=
Um Dolibarr zu nutzen, sind Kenntnisse über die einzelnen Module und deren Möglichkeiten notwendig.

Wählen Sie das für Sie interessante Modul und lesen Sie die Dokumentation:

*Die Liste der Standardmodule ist hier zu finden: [[:Category:Liste der Module|Liste der Module - auf deutsch erst im Aufbau]], die vollständige englische Seite [[:Category:List of Modules|deshalb weiterhin hier]].
*Die Liste aller anderen (Zusatz-) Module ist hier zu finden: [[:Category:Complementary modules|Ergänzungsmodule]] (engl.)

=Glossar=
Siehe Seite [[Glossar]]

=FAQ (häufig gestellte Fragen)=
Alle FAQ sind über die Startseite erreichbar [[:Category:FAQ EN|FAQ]] (englisch)

ModSecurity für Dolibarr

2022-05-12T09:17:41Z

Scalar: /* Laden Sie das ModSecurity v3 Nginx Connector Modul */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>
====Fehlerbehebung====

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-12T09:15:49Z

Scalar: /* Laden Sie das ModSecurity v3 Nginx Connector Modul */

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>

Fehlerbehebung

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-12T09:14:37Z

Scalar:

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>

Fehlerbehebung

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

ModSecurity für Dolibarr

2022-05-12T09:11:55Z

Scalar: Neue Seite

=Installieren Sie ModSecurity für Nginx bei Debian/Ubuntu=

Sie, als Betreiber eines vom Internet zugänglichen Speichermediums, sind für den Schutz der darauf befindlichen daten und für die Verbreitung von Daten, über dieses Speichermedium, verantwortlich.

Das bedeutet, wenn sich jemand unerlaubt Zugriff auf Ihren Server verschafft, können Sie dafür zur Verantwortung gezogen werden, wenn dadurch einem Dritten Schaden entsteht.

Um Ihren Server und Ihre Daten so gut als möglich zu schützen, nutzen sie alle Möglichkeiten die es gibt. Eine davon ist [https://docs.nginx.com/nginx-waf/ ModSecurity]. Im Folgenden beschreibe ich wie Sie ModSecurity installieren können und Ihr Dolibarr einbinden. Aufgebaut wird auf einen Server auf dem ein Ubuntu oder Debian Betriebssystem installiert ist, zusätzlich gehe ich davon aus das Sie Dolibarr entsprechend der Installationsanleitung von [https://forum.dolibarr.de/forum/t/installation-und-grund-haertung-von-dolibarr/8008 hier] oder [[Installieren und Härten von Dolibarr|hier]] installiert haben.

ModSecurity lässt sich als dynamisches Modul in Nginx integrieren, mit dem Sie den Quellcode einzelner Module kompilieren können, ohne Nginx selbst zu kompilieren.

Die Nginx-Binärdatei muss mit dem Argument --with-compat kompiliert werden, wodurch dynamische Module mit Ihrer vorhandenen Nginx-Binärdatei binärkompatibel werden. Allerdings wird nicht jede Nginx-Binärdatei, die aus dem standardmäßigen Debian/Ubuntu-Repository geliefert wird, mit dem Argument --with-compat kompiliert. Zur Vereinfachung können wir die neueste Version von Nginx aus dem PPA ondrej/nginx-mainline installieren, das von einem Debian-Entwickler gepflegt wird.
 

===Das nachfolgende ist nur für Ubuntu===

Wenn Sie Ubuntu 16.04, 18.04, 20.04 oder 20.10 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
sudo add-apt-repository ppa:ondrej/nginx-mainline -y

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/ondrej-ubuntu-nginx-mainline-*.list

entfernen Sie das # zeichen vor deb-src <nowiki>http://ppa.launchpad</nowiki>......
 

===Das nachfolgende ist nur für Debian===

Wenn Sie Debian 10 oder Debian 11 verwenden, führen Sie die folgenden Befehle aus, um die neueste Version von Nginx zu installieren.

Im Laufe der Installation werden Sie gefragt ob die nginx-conf aktualisiert werden soll ( *** nginx.conf (Y/I/N/O/D/Z) [default=N] ? n ), diese Frage beantworten Sie bitte mit n für nein (no).
curl -sSL <nowiki>https://packages.sury.org/nginx-mainline/README.txt</nowiki> | sudo bash -x

sudo apt update

sudo apt install nginx-core nginx-common nginx nginx-full

Bei der Standard Installation von Nginx ist nur die - binare Repository - aktiviert. Sie benötigen allerdings auch die - source code repository – um Nginx source Code herunterladen zu können.

Dafür editieren Sie bitte die Nginx mainline repository – Datei
sudo nano /etc/apt/sources.list.d/nginx-mainline.list

Sie sollten eine einzelne Zeile finden, die das binäre Nginx-Repository aktiviert. Fügen Sie die folgende Zeile hinzu, um das Nginx-Quellcode-Repository auf Debian 10 zu aktivieren.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> buster main

Wenn Sie Debian 11 verwenden, fügen Sie stattdessen die folgende Zeile hinzu.
deb-src <nowiki>https://packages.sury.org/nginx-mainline/</nowiki> bullseye main

===Ab jetzt sind die Befehle wieder für beide Betriebssysteme identisch===

Nach dem Speichern machen Sie bitte ein Update
sudo apt update

Überprüfen Sie die Configuration von Nginx
nginx -V

Sie werden feststellen das alle Nginx binaries im PPA mit dem --with-compat Argument kompiliert wurden

=Download Nginx Source Packet=

Natürlich müssen Sie nicht Ngix Komilieren, jedoch benötigen Sie den Nginx Source Code um das ModSecurity dynamic module zu kompilieren.

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.19.5.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

=Install libmodsecurity3=

Nun können Sie libmodsecurrity Installieren, libmodsecurrity stellt die Bibliothek zur Filterung Ihrer http Webanwendungen bereit.

Zuerst Klonen Sie den source Code von Github

Dazu Installieren Sie erst git
sudo apt install git

und führen dann den clone befehl aus.
git clone --depth 1 -b v3/master --single-branch <nowiki>https://github.com/SpiderLabs/ModSecurity</nowiki> /usr/local/src/ModSecurity/

wechseln Sie für die weitere Bearbeitung ins ModSecurity Verzeichnis
cd /usr/local/src/ModSecurity/

und Installieren Sie die Benötigten Bibliotheken
sudo apt install gcc make build-essential autoconf automake libtool libcurl4-openssl-dev liblua5.3-dev libfuzzy-dev ssdeep gettext pkg-config libpcre3 libpcre3-dev libxml2 libxml2-dev libcurl4 libgeoip-dev libyajl-dev doxygen <code>zlib1g</code>

Jetzt installieren Sie noch die zusätzlichen Module
git submodule init

git submodule update

Jetzt konfigurieren Sie die Umgebung
./build.sh

Sollten Sie nachfolgende Fehlermeldung sehen – können Sie diese ignorieren

fatal: No names found, cannot describe anything.
./configure

Kompilieren Sie den source Code mit folgendem Befehl. In der Grundeinstellung arbeitet „ make „ mit einem Prozessor Kern. In Abhängigkeit wie viele Kerne Sie Ihrem Server zur Verfügung gestellt haben, ändern Sie bitte die Anzahl der Kerne im Befehl

Das kann ein bisschen dauern, abhängig von Ihrer Anzahl an CPU-Kernen und der menge an RAM Speicher.

Passen Sie das ROT geschriebene Ihren Daten an
make -j3
<blockquote>
====Fehlerbehebung====
Error 1

Wenn Sie diese Fehlermeldung sehen liegt das wahrscheinlich daran das Ihr Server zu wenig RAM-Speicher hat

 g++: internal compiler error: Killed (program cc1plus)

Bitte stellen Sie Ihrem Server mehr RAM-Speicher zur verfügung.

Error #2

Wenn Sie folgenden fehler, beim Kompilieren von ModSecurity sehen

utils/geo_lookup.cc: In member function ‘bool modsecurity::Utils::GeoLookup::lookup(const string&, modsecurity::Transaction*, std::function<bool(int, const std::__cxx11::basic_string<char>&)>) const’:
utils/geo_lookup.cc:124:32: error: invalid conversion from ‘const MMDB_s*’ to ‘MMDB_s*’ [-fpermissive]
r = MMDB_lookup_string(&mmdb, target.c_str(), &gai_error, &mmdb_error);

liegt das wahrscheinlich daran das Sie eine veraltete Version von libmaxminddb-dev instaliert haben. Sie können dieses Packet löschen und gegen eine aktuelle ersetzen.

Löschen der alten libmaxminddb-dev
</blockquote>
sudo apt remove libmaxminddb-dev
<blockquote>

Installieren von libgeoip-dev, das ist eine Alternative zu libmaxminddb-dev
</blockquote>
sudo apt install libgeoip-dev
<blockquote>

jetzt können Sie ModSecurity erneut kompilieren. Bitte die Anzakl der CPU Kerne anpassen

Passen Sie das ROT geschriebene Ihren Daten an
</blockquote>
make clean

./configure

make -j3
und die Binary installieren

Wenn der make Befehl fehlerfrei abgeschlossen ist, installieren Sie die binary
sudo make install

=Installieren von ModSecurity v3=

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-1.21.6

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

=Laden Sie das ModSecurity v3 Nginx Connector Modul=

Bearbeitungen Sie die nginx.conf
sudo nano /etc/nginx/nginx.conf

und fügen vor dem events nachfolgende Zeile ein
load_module modules/ngx_http_modsecurity_module.so;

In Ihre conf.d/Konfigurations.conf in diesem Fall für Dolibarr
nano /etc/nginx/conf.d/dolibarr.conf

<code>fügen Sie nach -> listen [::]:443 ssl http2;</code>

<code>folgende Zeilen ein</code>
 modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Die vHosts Konfigurationsdatei erweitern Sie ebenfalls
nano /etc/nginx/conf.d/http.conf

und fügen nach -> listen [::]:80 default_server;

<code>folgende Zeilen ein</code>
modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

Speichern und Schließen Sie die Datei.

Als nächstes erstellen Sie einen neuen Ordner -> /etc/nginx/modsec/
sudo mkdir /etc/nginx/modsec/

in diesen Kopieren Sie die ModSecurity Konfigurations Datei,
sudo cp /usr/local/src/ModSecurity/modsecurity.conf-recommended /etc/nginx/modsec/modsecurity.conf

und bearbeiten die Konfigurationsdatei im Anschluss.
sudo nano /etc/nginx/modsec/modsecurity.conf

Suchen und ersetzen Sie folgende Zeilen
SecRuleEngine DetectionOnly -> SecRuleEngine On

SecAuditLogParts ABIJDEFHZ -> SecAuditLogParts ABCEFHJKZ

SecResponseBodyAccess On -> SecResponseBodyAccess Off

Speichern und verlassen Sie die Datei

Jetzt erstellen Sie die main.conf
sudo nano /etc/nginx/modsec/main.conf
fügen folgende Zeile ein.

Speichen und schließen Sie die Datei im Anschluss
Include /etc/nginx/modsec/modsecurity.conf
Sie benötigen auch die unicode.mapping datei, die Sie jetzt Kopieren
sudo cp /usr/local/src/ModSecurity/unicode.mapping /etc/nginx/modsec/
nun testen Sie die Nginx Konfiguration
sudo nginx -t
<blockquote>

Error #3

Sollten Sie diese Fehlermeldung bekommen</blockquote>
nginx: [warn] duplicate extension "woff", content type: "font/woff2", previous content type: "font/woff" in /etc/nginx/mime.types:29
<blockquote>

bearbeiten Sie die mime.types Datei</blockquote>
nano /etc/nginx/mime.types
<blockquote>
Suchen und ersetzen Sie folgende Zeile</blockquote>
font/woff2 woff; -> font/woff2 woff2;
<blockquote>
speichern und schließen</blockquote>
nun testen Sie die Nginx Konfiguration
sudo nginx -t
Wenn es keine Fehler gab starten Sie Nginx neu
sudo systemctl restart nginx

=Aktiviere OWASP Core Regel Set=

Um Ihre Webanwendung zu schützen, müssen Sie Regeln festlegen um Angreifer zu erkennen und diese zu Blocken.

Für den Anfing ist es am besten ein vordefiniertes Archiv von Regeln zu verwenden

Das OWASP Core Rule Set ist das Standard Set für die Verwendung von ModSecurity

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/v3.3.2.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf v3.3.2.tar.gz

sudo mv coreruleset-3.3.2/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf.example /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und fügen folgende Zeilen ein

Die rote Versionsnummer passen Sie bitte der Aktuellen an
Include /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-3.3.2/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

um zu verhindern das Ihre Logdatei bis ins unendliche wächst legen Sie eine Regel fest nach der Ihre Logdatei sich Täglich erneuert und nur die Letzten 14 Einträge erhalten bleiben.

Erstellen Sie dafür /logrotate.d/modsecurity
sudo nano /etc/logrotate.d/modsecurity

und fügen nachfolgendes ein
/var/log/modsec_audit.log
{
 rotate 14
 daily
 missingok
 compress
delaycompress
 notifempty
}

Speichern und schließen

Nginx erneut als Starten um die änderungen zu aktivieren
sudo systemctl restart nginx

=Handling Falscher Ereignisse=

ModSecurity ist eine generische Webanwendungs-Firewall und nicht für eine bestimmte Webanwendung konzipiert. Der OWASP-Kernregelsatz ist auch ein generischer Regelsatz ohne bestimmte Anwendung, daher ist es wahrscheinlich, dass Sie nach der Aktivierung von ModSecurity und OWASP CRS falsch positive Ergebnisse sehen. Wenn Sie den Paranoia-Level im CRS erhöhen, werden mehr falsch positive Ergebnisse angezeigt.

Zum Beispiel verbietet das CRS standardmäßig das Einfügen von Unix-Befehlen wie die Eingabe von sudo auf einer Webseite, was in meinem Blog ziemlich üblich ist. Um Fehlalarme zu eliminieren, müssen Sie dem CRS Regelausschlüsse hinzufügen.

Es gibt einige vorgefertigte, anwendungsspezifische Ausnahmen, die mit OWASP CRS geliefert werden. Bearbeiten Sie die dafür Datei crs-setup.conf.

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Gehen Sie zum Abschnitt Anwendungsspezifische Regelausschlüsse und suchen Sie die folgenden Zeilen.

Suchen sie nach -> Application Specific Rule Exclusions

Gehen Sie nach unten bis Sie diesen Eintrag finden
<nowiki>#</nowiki>SecAction \
<nowiki>#</nowiki> "id:900130,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Um diese Einträge aus zu schließen entfernen Sie alle # Zeichen von SecAction \ bis t:none,\

Wenn Sie jetzt zum Beispiel WordPress ausschließen möchten, entfernen Sie einfach das # zeichen vor dem Eintrag -> # setvar:tx.crs_exclusions_wordpress=1,\

Die Zeichenfolge ,\ am Ende der Ziele zeigt an das diese Ziele eine folge Zeile hat

Wenn Sie also nur, wie im Beispiel oben, WordPress anschließen wollen, müssen auch die Zeichen ,\ am Ende löschen. Sollte noch zusätzlich z.B. eine Nextcloud über diesen Server laufen dann löschen Sie auch das # Zeichen vor diesem Eintrag. Lassen aber die Zeichen ,\ am Ende stehen da WordPress danach folgt.

Beachten Sie, dass, wenn Sie mehrere Anwendungen wie (WordPress, Nextcloud, Drupal, Dolibarr usw.) auf demselben Server installiert haben, die oben genannten Regelausschlüsse auf alle Anwendungen angewendet werden.

Um jetzt Dolibarr in die Regeln ein zu beziehen, muss ein neuer Eintrag erstellt werden ohne ,\ am ende da Sie nur Dolibarr ausschließen.
SecAction \
"id:900130,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.crs_exclusions_dolilibarr=1"
<nowiki>#</nowiki> setvar:tx.crs_exclusions_cpanel=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_drupal=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_dokuwiki=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_nextcloud=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_wordpress=1,\
<nowiki>#</nowiki> setvar:tx.crs_exclusions_xenforo=1"

Für Dolibarr müssen Sie noch zusätzlich einen weiteren Regel Ausschluss bearbeiten.

Suchen Sie dafür den Eintrag
<nowiki>#</nowiki> -=[ Anomaly Mode: Overall Transaction Anomaly Score ]=-

Und fügen vor jedem eintrag bis einschließlich
setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

ein # Zeichen ein
<nowiki>#</nowiki>SecRule TX:ANOMALY_SCORE "@ge %{tx.inbound_anomaly_score_threshold}" \
<nowiki>#</nowiki> "id:949110,\
<nowiki>#</nowiki> phase:2,\
<nowiki>#</nowiki> deny,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> log,\
<nowiki>#</nowiki> msg:'Inbound Anomaly Score Exceeded (Total Score: %{TX.ANOMALY_SCORE})',\
<nowiki>#</nowiki> tag:'application-multi',\
<nowiki>#</nowiki> tag:'language-multi',\
<nowiki>#</nowiki> tag:'platform-multi',\
<nowiki>#</nowiki> tag:'attack-generic',\
<nowiki>#</nowiki> ver:'OWASP_CRS/3.3.2',\
<nowiki>#</nowiki> severity:'CRITICAL',\
<nowiki>#</nowiki> setvar:'tx.inbound_anomaly_score=%{tx.anomaly_score}'"

Dies ist nötig da ModSecurity sonst eine Änderung von Sicherheitsrelevanten Einträgen in Dolibarr nicht mehr zugelassen wird. Sie könnten zum Beispiel Ihr Passwort oder das von Nutzern nicht mehr ändern. Das anlegen von neuen Benutzern ist ebenfalls nicht mehr möglich.

Sie können, die oben beschriebenen, Einstellungen durchführen um Sicherheitsrelevante Änderungen durch zu führen und sie, als zusätzliche Absicherung, danach wieder zurücksetzen.

Um die Sicherheitsrisiken zu minimieren, sollten Sie einen Regelausschluss nur für eine Anwendung aktivieren. Wechseln Sie dazu in das Verzeichnis /etc/nginx/modsec/coreruleset-3.3.*/rules/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
cd /etc/nginx/modsec/coreruleset-3.3.2/rules
benennen Sie REQUEST-900-EXCLUSION-RULES-BEFORE-CRS um
sudo mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
und bearbeiten Sie die Datei
sudo nano REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Wenn Ihr WordPress die Unterdomäne blog.yourdomain.com verwendet und der vom Browser des Besuchers gesendete Anforderungsheader diese Unterdomäne enthält, wendet ModSecurity die Regelausschlüsse für WordPress an.

Das rot geschriebene passen Sie bitte an Ihre Daten an

In unserm Fall haben Sie Dolibarr hinzugefügt und diese Regel wird nun unter REQUEST-900 übernommen
SecRule REQUEST_HEADERS:Host "@streq dolibarr.yourdomain.com" "id:1000,phase:1,setvar:tx.crs_exclusions_dolibarr=1"
Weitere Regeln wie zum Beispiel Ihr Blog den Sie auf WordPress am selben Server laufen haben können Sie so freigeben. Beachten Sie bitte das weitere Einträge auch unter sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf angepasst werden müssen
SecRule REQUEST_HEADERS:Host "@streq blog.yourdomain.com" "id:1001,phase:1,setvar:tx.crs_exclusions_wordpress=1"
Wenn Sie Nextcloud auf demselben Server installiert haben, können Sie dieser Datei auch die folgende Zeile hinzufügen. Wenn also ein Besucher auf Ihre Nextcloud-Subdomain zugreift, wendet ModSecurity die Nextcloud-Regelausschlüsse an.
SecRule REQUEST_HEADERS:Host "@streq nextcloud.yourdomain.com" "id:1002,phase:1,setvar:tx.crs_exclusions_nextcloud=1"
Speichern und schließen Sie die Datei und testen Sie Nginx
sudo nginx -t

War der Test fehlerfrei starten Sie Nginx neu
sudo systemctl reload nginx

=(Optional) Integation von Project Honeypot bei ModSecurity=

[https://www.projecthoneypot.org/ Project Honeypot] führt eine Liste bekannter bösartiger IP-Adressen, die der Öffentlichkeit kostenlos zur Verfügung stehen. ModSecurity kann in Project Honeypot integriert werden und IP-Adressen auf der Project Honeypot-Liste blockieren.

Beachten Sie, dass die Verwendung von Project Honeypot Ihre Website für neue Besucher langsamer macht, da Ihr Webserver eine Anfrage an Project Honeypot senden muss, bevor er eine Antwort an den neuen Besucher senden kann. Sobald die IP-Reputationsdaten jedoch auf Ihrem Webserver zwischengespeichert sind, sind die Auswirkungen auf die Leistung sehr gering.

Um Project Honeypot zu verwenden, erstellen Sie zunächst ein [https://projecthoneypot.org/create_account.php kostenloses Konto] auf seiner Website. Gehen Sie dann zu Ihrem Konto-Dashboard und klicken Sie auf den Link '''Get One''', um einen Zugriffsschlüssel für die HTTP-Blacklist anzufordern.

Wenn das erledigt ist bearbeiten Sie wieder die crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo nano /etc/nginx/modsec/coreruleset-3.3.2/crs-setup.conf

Suchen Sie folgende Zeilen
<nowiki>#</nowiki>SecHttpBlKey XXXXXXXXXXXXXXXXX
<nowiki>#</nowiki>SecAction "id:900500,\
<nowiki>#</nowiki> phase:1,\
<nowiki>#</nowiki> nolog,\
<nowiki>#</nowiki> pass,\
<nowiki>#</nowiki> t:none,\
<nowiki>#</nowiki> setvar:tx.block_search_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_suspicious_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_harvester_ip=1,\
<nowiki>#</nowiki> setvar:tx.block_spammer_ip=1"

Diese ändern Sie wie folgt und ersetzen die roten XXXX gegen den, bei Honeypot, erhaltenen HTTPBL API key
SecHttpBlKey XXXXXXXXXXXXXXXXX
SecAction "id:900500,\
phase:1,\
nolog,\
pass,\
t:none,\
setvar:tx.block_search_ip=1,\
setvar:tx.block_suspicious_ip=1,\
setvar:tx.block_harvester_ip=1,\
setvar:tx.block_spammer_ip=1"

Beachten Sie, dass block_search_ip auf 0 (deaktiviert) gesetzt werden sollte, wenn Sie Suchmaschinen-Crawler nicht blockieren möchten. Im Fall von Dolibarr, das vorwiegend betriebsintern Verwendung findet und nicht einer breiten Masse zugänglich gemacht wird, belass ich es bei 1 (aktiviert). Ihren Blog oder eine Webseite möchten Sie jedoch, in den meisten Fällen, von Suchmaschinen gelistet werden.

Speichern und schließen Sie die Datei. Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Jetzt fragt ModSecurity Project Honeypot bei allen HTTP-Anfragen ab. Um zu testen, ob dies funktioniert, bearbeiten Sie die Datei /etc/nginx/modsec/main.conf.
sudo nano /etc/nginx/modsec/main.conf

Fügen Sie am Ende dieser Datei die folgende Zeile hinzu. Dadurch können wir eine IP-Adresse in einer URL weitergeben. (wenn der Test erfolgreich war, können Sie diese Zeile aus der Datei entfernen.)
SecRule ARGS:IP "@rbl dnsbl.httpbl.org" "phase:1,id:171,t:none,deny,nolog,auditlog,msg:'RBL Match for SPAM Source'

Speichern und schließen Sie die Datei.
sudo nginx -t

Laden Sie dann Nginx neu.
sudo systemctl reload nginx

Gehen Sie zur Website von Project Honeypot und finden Sie eine bösartige IP-Adresse, zum Beispiel 134.119.218.243. Führen Sie den folgenden Befehl aus, um die HTTP-Blacklist zu testen.

Das rot geschriebene passen Sie bitte an Ihre Daten an
curl -i -s -k -X $'GET' '<nowiki>https://yourdomain.com/?IP=134.119.218.243'</nowiki>

Ihr Webserver sollte eine verbotene 403-Antwort zurückgeben, da die IP-Adresse bei Project Honeypot gelistet ist.

Wenn der Test erfolgreich war, können Sie die eingefügte Zeile aus der main.conf Datei wieder entfernen
sudo nano /etc/nginx/modsec/main.conf

=Upgrading Nginx=

Wenn Sie Dolibarr mit meiner Anleitung Installiert haben, dann haben Sie auch eine Automatisierte Server Aktualisierung mit Installiert.

Um jetzt zu verhindern das Ihr Nginx dynamiy modul eine andere Version als Nginx binary hat verhindern Sie zuerst das Nginx beim Update aktualisiert wird wenn Sie den Befehl zum upgrade ausführen.

Dies kann durch den folgenden Befehl erreicht werden
sudo apt-mark hold nginx

Wenn Sie nun den Befehl sudo apt-get dist-upgrade ausführen und der Paketmanager Ihnen mitteilt, dass das Nginx-Paket vom Upgrade zurückgehalten wird, bedeutet dies, dass eine neue Nginx-Version verfügbar ist.

Nun Sie müssen das neue Nginx-Quellpaket herunterladen und das ModSecurity-Modul erneut kompilieren. Verschieben Sie das neu kompilierte ModSecurity-Modul in das Verzeichnis /usr/share/nginx/modules/. Im Grunde bedeutet das, dass Sie alles im Verzeichnis /usr/local/src/ entfernen müssen (sudo rm /usr/local/src/* -rf ) und Schritt 2 und Schritt 4 erneut durchlaufen müssen.

Gehen Sie wie folgt vor

Löschen Sie alles im Verzeichnis /usr/local/src/
sudo rm /usr/local/src/* -rf

Führen Sie den nachfolgenden Befehl aus um den Nginx source Code im verzeichnis /usr/local/src/ ausführen zu können.

Das rot geschriebene mit Ihrem USERNAMEN ersetzen
sudo chown USERNAMEN:USERNAMEN/usr/local/src/ -R

mkdir -p /usr/local/src/nginx

Arbeiten Sie in der Nginx source Directory
cd /usr/local/src/nginx/

Mit dem folgenden Befehlen laden Sie das Nginx source Packet herunter
sudo apt install dpkg-dev

apt source nginx

Sollten Sie die nachfolgende Fehlermeldung bekommen, können Sie diese einfach ignorieren

W: Download is performed unsandboxed as root as file 'nginx_1.21.6.orig.tar.gz' couldn't be accessed by user '_apt'. - pkgAcquire::Run (13: Permission denied)

Überprüfen Sie die geladenen Dateien
ls

Sie sollten etwas ähnliches wie folgende Zeilen sehen
nginx-1.21.6
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.debian.tar.xz
nginx_1.21.6-1+ubuntu20.04.1+deb.sury.org+2.dsc
nginx_1.21.6.orig.tar.gz
nginx_1.21.6.orig.tar.gz.asc

Stellen Sie sicher, dass die source Code Version dieselbe wie die Binäre Version ist
<code>sudo nginx -v</code>

Klonen Sie ModSecurity Nginx Connector von der Git repository.
git clone --depth 1 <nowiki>https://github.com/SpiderLabs/ModSecurity-nginx.git</nowiki> /usr/local/src/ModSecurity-nginx/

Wächseln Sie in Ihren Nginx Source Ortner

Passen Sie das ROT geschriebene Ihren Daten an
nginx -v

cd /usr/local/src/nginx/nginx-NEUE.VERSIONS.NUMMER

Installieren Sie die angepassten Nginx Abhängigkeiten
sudo apt build-dep nginx

sudo apt install uuid-dev

Als nächstes konfigurieren Sie die Umgebung mit dem folgenden Befehl. Wir werden Nginx selbst nicht kompilieren, sondern nur das ModSecurity Nginx Connector-Modul kompilieren. Das Flag --with-compat macht das Modul binärkompatibel mit Ihrer vorhandenen Nginx-Binärdatei.
./configure --with-compat --add-dynamic-module=/usr/local/src/ModSecurity-nginx

Erstellen Sie das ModSecurity Nginx Connector Modul
make modules

Das Modul wird gespeichert als objs/ngx_http_modsecurity_module.so.

Kopieren Sie es in Ihren Odrner
sudo cp objs/ngx_http_modsecurity_module.so /usr/share/nginx/modules/

jetzt heben Sie den Aktualisierungs Stopp von Nginx auf.
sudo apt-mark unhold nginx

und führen das Upgrade aus
sudo apt upgrade nginx

wenn das abgeschlossen ist setzen Sie wieder den Aktualisierungs Stopp für Nginx
sudo apt-mark hold nginx

zur überprüfung können Sie mit diesem Befehl alle getopten Packete sehen
apt-mark showhold

Starten Sie Nginx neu
sudo systemctl restart nginx

=Upgrade OWASP CRS=

Laden Sie das Aktuelle OWASP CRS von GitHub herunter

Die rote Versionsnummer passen Sie bitte der Aktuellen an
wget <nowiki>https://github.com/coreruleset/coreruleset/archive/vNEUE.VERSIONS.NUMMER.tar.gz</nowiki>

entpacken Sie die Datei und verschieben sie in den Ordner /etc/nginx/modsec/

Die rote Versionsnummer passen Sie bitte der Aktuellen an
tar xvf vNEUE.VERSIONS.NUMMER.tar.gz

sudo mv coreruleset-NEUE.VERSIONS.NUMMER/ /etc/nginx/modsec/

Benennen sie die crs-setup.conf.example Datei um in crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
sudo mv /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf.example /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Jetzt bearbeiten Sie die Konfigurationsdatei
sudo nano /etc/nginx/modsec/main.conf

und passen die Versionsnummern an die Aktuellen an

Die rote Versionsnummer passen Sie bitte den Aktuellen an
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf
Include /etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/rules/*.conf

Im Anschluss testen Sie die Nginx Konfiguration
sudo nginx -t

wenn dieser Test funktioniert hat starten Sie Nginx als Service neu
sudo systemctl restart nginx

Passen Sie den Inhalt Ihrer bisherigen coreruleset-ALTE.VERSIONS.NUMMER/crs-setup.conf an Ihre neue /crs-setup.conf

Die rote Versionsnummer passen Sie bitte der Aktuellen an
mv /etc/nginx/modsec/coreruleset-ALTE.VERSIONS.NUMMER/rules/ etc/nginx/modsec/coreruleset-NEUE.VERSIONS.NUMMER/crs-setup.conf

Zum abschluß testen Sie die Nginx Konfiguration
sudo nginx -t

wenn alles fehlerfrei läuft Nginx neu starten
sudo systemctl reload nginx

Woher wissen Sie, ob die neue Version funktioniert? Starten Sie einen einfachen SQL-Injection-Angriff und überprüfen Sie Ihre Serverprotokolle. Es zeigt Ihnen die CRS-Version, die diesen Angriff verhindert.

Die rote Domain an Ihre eigene Anpassen
<nowiki>https://yourdomain.com/?id=3</nowiki> or 'a'='a'

Sie sollten eine 403 Forbidden Seite erhalten

Ich hoffe, dieses Tutorial hat Ihnen geholfen, die ModSecurity-Webanwendungs-Firewall mit Nginx unter Debian/Ubuntu einzurichten.

Gruß Scalar

Installieren und Härten von Dolibarr

2022-05-06T19:32:22Z

Scalar: /* Information über Server Updates und Upgrades */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod='0'; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellite system aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
#sollten Ihr Server nicht der localhost sein das anpassen
myhostname = localhost
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.

==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen
cm /etc/cron.d/apticron /etc/cron.d/apticron.bak

nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-06T19:26:08Z

Scalar: /* Installieren von Postfix */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod='0'; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellite system aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
#sollten Ihr Server nicht der localhost sein das anpassen
myhostname = localhost
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.

==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-06T19:24:18Z

Scalar: /* Installieren von Postfix */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod='0'; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellite system aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
#sollten Ihr Server nicht der localhost sein das anpassen

myhostname = localhost
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-06T19:16:49Z

Scalar: /* Installieren von Postfix */

{{DISPLAYTITLE:Installieren und härten von Dolibarr}}

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod='0'; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellite system aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-06T19:13:24Z

Scalar: /* Absicherung von Dolibarr */

{{DISPLAYTITLE:Installieren und härten von Dolibarr}}

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod='0'; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-06T19:11:56Z

Scalar: /* Absicherung von Dolibarr */

{{DISPLAYTITLE:Installieren und härten von Dolibarr}}

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360;/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-06T18:54:54Z

Scalar: /* MariaDB Installieren */

{{DISPLAYTITLE:Installieren und härten von Dolibarr}}

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-06T18:38:29Z

Scalar: /* Vorbereiten der Einrichtung Ihres Servers */

{{DISPLAYTITLE:Installieren und härten von Dolibarr}}

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/hosts /etc/hosts.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-06T17:34:14Z

Scalar: /* Vorbereiten der Einrichtung Ihres Servers */

{{DISPLAYTITLE:Installieren und härten von Dolibarr}}

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
sed -i "s/#NTP=.*/NTP=ntp1.dismail.de ntp2.dismail.de/" /etc/systemd/timesyncd.conf
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:23:57Z

Scalar:

{{DISPLAYTITLE:Installieren und härten von Dolibarr}}

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:13:47Z

Scalar: /* Installation und Konfiguration von Redis */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:13:10Z

Scalar: /* Installation und Konfiguration von Redis */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens ein „A+“-Ergebnis in den Tests zu erzielen

Testen Sie Ihre Server Sicherheit, es gibt dafür viele Anbieter, zwei davon habe ich nachfolgend verlinkt.

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:08:15Z

Scalar: /* Installieren von Postfix */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest

das rot geschriebene mit Ihren Daten ersetzen
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix

das rot geschriebene mit Ihren Daten ersetzen
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:06:33Z

Scalar: /* Installieren von Postfix */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.domain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:05:51Z

Scalar: /* Installieren von fail2ban */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.dolain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:04:18Z

Scalar: /* Absicherung von Dolibarr */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie

nachfolgend beschrieben
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.dolain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:03:40Z

Scalar: /* Absicherung von Dolibarr */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch anders sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können diese PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, Nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie

nachfolgend beschrieben
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.dolain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T06:00:52Z

Scalar: /* Installieren von Dolibarr */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen

==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch ander5s sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können die PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie

nachfolgend beschrieben
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.dolain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T05:58:03Z

Scalar: /* Erstellen der Let’s Encrypt Zertifikate */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen
==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch ander5s sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können die PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie

nachfolgend beschrieben
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.dolain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T05:57:13Z

Scalar: /* Erstellen der Let’s Encrypt Zertifikate */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu befüllen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart

==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen
==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch ander5s sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können die PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie

nachfolgend beschrieben
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.dolain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr

Installieren und Härten von Dolibarr

2022-05-05T05:55:08Z

Scalar: /* MariaDB Installieren */

==SSH Key erstellen und Verbindung herstellen==
Vorausgesetzt ist ein vorinstallierter Server mit

[https://releases.ubuntu.com/20.04/ Ubuntu 20.04.x LTS Focal Fossa (x86-64)] bzw. [https://www.debian.org/releases/stable/debian-installer/index.de.html Debian Server 11 bullseye (x86-64)] Betriebssystem

mit vorinstalliertem openssh

Sie brauchen Root Rechte am Server

Zugriff erfolgt über einen Windows PC

Die Verbindung wird per SSH und [https://www.putty.org/ PuTTY] hergestellt Zusätzlich verwende ich [https://cmder.net/ Cmder]

Hier kann man aber auch bei Windows im Startmenü in die Eingabezeile - cmd.exe - eingeben und bestätigen erfüllt den selben zweck

'''Herstellen einer SSH Verbindung'''

unter Windows das SSH-Paar erstellen mit Cmder ins eigene Benutzerverzeichnis wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name
SSH-Key erzeugen → Pfad und Name bestätigen (Enter) oder eigenen Pfad und Namen eingeben → Passphrase eingeben (man kann es auch leer lassen dies wird jedoch nicht empfohlen)

Standard Sicherheit 2048 Bit - höhere Sicherheit 4096 Bit
ssh-keygen

ssh-keygen -t rsa -b 4096
'''anmelden am Server'''

befehle am Server über PuTTY eingeben anmelden mit SERVER.USERNAME und SERVER.PASSWORD‬‬‬‬‬‬‬‬‬‬

System update
sudo apt-get update -y && sudo apt-get upgrade -y

sudo apt -y install software-properties-common
SSH Server installieren falls er bei der Ubuntu Installation nicht mitinstalliert wurde
sudo apt install openssh-server
'''SSH als Service aktivieren'''
sudo systemctl enable ssh

sudo systemctl start ssh
'''Ordner für SSH Key anlegen'''

das rot geschriebene mit Ihren Daten ersetzen
mkdir /home/SERVER.USERNAME/.ssh
Dem Ordner die nötigen Rechte geben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chown -R SERVER.USERNAME:SERVER.USERNAME/home/SERVER.USERNAME/.ssh
'''SSH-Key und authorized-keys erstellen'''

wechseln auf Windows

eingabe mit Cmder oder cmd.exe

SSH-Key und authorized-keys erstellen im Windows Benutzerordner .ssh erstellen

das rot geschriebene mit Ihren Daten ersetzen
cp C:\Users\Name\.ssh\id_rsa.pub C:\Users\Name\.ssh\authorized_keys
aufs Benutzerkonto wechseln

das rot geschriebene mit Ihren Daten ersetzen
cd C:\Users\Name\
SSH-Key und authorized_keys auf den Server kopieren

das rot geschriebene mit Ihren Daten ersetzen
cat ~/.ssh/id_rsa.pub | ssh SERVER.USERNAME@SERVER-IP"cat >> ~/.ssh/authorized_keys"
mit PuTTY am Server

Ordner und Zugriffsrechte vergeben

das rot geschriebene mit Ihren Daten ersetzen
chmod 700 /home/SERVER.USERNAME/.ssh

chmod 600 /home/SERVER.USERNAME/.ssh/authorized_keys
testen ob SSH Autorisiergun läuft
eval "$(ssh-agent)"
Wenn Sie ein „ Agent pid ….“ Erhalten hat alles geklappt und der SSH-Key am PC kann gelöscht werden.

Dazu '''wechseln Sie auf Ihren Windows''' PC und geben bei Cmder oder cmd.exe den Befehl zum löschen des authorized_keys ein

das rot geschriebene mit Ihren Daten ersetzen
rm C:\Users\Name\.ssh\authorized_keys
Server SSH Härten und absichern

'''mit PuTTY am Server'''

umbenennen der sshd_config in sshd_config.bak
sudo mv /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
mit einem Texteditor können Sie jetzt die leere sshd_config erstellen
sudo nano /etc/ssh/sshd_config
Bitte Fügen Sie dazu nachstehendes ein

Jetzt können Sie auch ein alternatives SSH Port eintragen

ein freies Port können Sie hier finden

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> $OpenBSD: sshd_config,v 1.103 2018/04/09 20:41:22 tj Exp $
<nowiki>#</nowiki> This is the sshd server system-wide configuration file. See
<nowiki>#</nowiki> sshd_config(5) for more information.

<nowiki>#</nowiki> This sshd was compiled with PATH=/usr/bin:/bin:/usr/sbin:/sbin

<nowiki>#</nowiki> The strategy used for options in the default sshd_config shipped with
<nowiki>#</nowiki> OpenSSH is to specify options with their default value where
<nowiki>#</nowiki> possible, but leave them commented. Uncommented options override the
<nowiki>#</nowiki> default value.

Include /etc/ssh/sshd_config.d/*.conf

<nowiki>#</nowiki>Standart Port ist 22
Port 22
<nowiki>#</nowiki>AddressFamily any
<nowiki>#</nowiki>ListenAddress 0.0.0.0
<nowiki>#</nowiki>ListenAddress ::

<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_rsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ecdsa_key
<nowiki>#</nowiki>HostKey /etc/ssh/ssh_host_ed25519_key

# Ciphers and keying
<nowiki>#</nowiki>RekeyLimit default none

# Logging
<nowiki>#</nowiki>SyslogFacility AUTH
<nowiki>#</nowiki>LogLevel INFO

# Authentication:
LoginGraceTime 20
PermitRootLogin no
<nowiki>#</nowiki>StrictModes yes
MaxAuthTries 3
<nowiki>#</nowiki>MaxSessions 10
PubkeyAuthentication yes

# Expect .ssh/authorized_keys2 to be disregarded by default in future.
<nowiki>#</nowiki>AuthorizedKeysFile .ssh/authorized_keys .ssh/authorized_keys2

<nowiki>#</nowiki>AuthorizedPrincipalsFile none
<nowiki>#</nowiki>AuthorizedKeysCommand none
<nowiki>#</nowiki>AuthorizedKeysCommandUser nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
<nowiki>#</nowiki>HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
<nowiki>#</nowiki>HostbasedAuthentication
<nowiki>#</nowiki>IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Kerberos options
KerberosAuthentication no
<nowiki>#</nowiki>KerberosOrLocalPasswd yes
<nowiki>#</nowiki>KerberosTicketCleanup yes
<nowiki>#</nowiki>KerberosGetAFSToken no

# GSSAPI options
GSSAPIAuthentication no
<nowiki>#</nowiki>GSSAPICleanupCredentials yes
<nowiki>#</nowiki>GSSAPIStrictAcceptorCheck yes
<nowiki>#</nowiki>GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication. Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes
AllowAgentForwarding no
AllowTcpForwarding no
<nowiki>#</nowiki>GatewayPorts no
X11Forwarding no
<nowiki>#</nowiki>X11DisplayOffset 10
<nowiki>#</nowiki>X11UseLocalhost yes
<nowiki>#</nowiki>PermitTTY yes
PrintMotd no
<nowiki>#</nowiki>PrintLastLog yes
<nowiki>#</nowiki>TCPKeepAlive yes
PermitUserEnvironment no
<nowiki>#</nowiki>Compression delayed
<nowiki>#</nowiki>ClientAliveInterval 0
<nowiki>#</nowiki>ClientAliveCountMax 3
<nowiki>#</nowiki>UseDNS no
<nowiki>#</nowiki>PidFile /var/run/sshd.pid
<nowiki>#</nowiki>MaxStartups 10:30:100
PermitTunnel no
<nowiki>#</nowiki>ChrootDirectory none
<nowiki>#</nowiki>VersionAddendum none
# no default banner path
Banner none
# Allow client to pass locale environment variables
AcceptEnv LANG LC_*
<nowiki>#</nowiki> override default of no subsystems
Subsystem sftp /usr/lib/openssh/sftp-server
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen
sshd_config neu laden

sudo systemctl restart ssh
verwendeten SSH-Port anzeigen
grep -i port /etc/ssh/sshd_config
'''Die Putty Shell nicht schließen bitte erst den nächsten Schritt am Windows PC durchführen'''
==PuTTY einrichten==
PuTTYgen starten → Conversation → Import Key und den Privaten Schlüssel - id_rsa - laden (Passphrase eingeben)

in PuTTYgen auf → Save private key - klicken und das File als - id_rsa.ppk - speichern

sollte eine Passphrase beim laden abgefragt worden sein wird diese übernommen, sonst die Frage nach der Passphrase mit JA/YES beantworten und weiter ohne Passphrase

PuTTY starten rechts auf → Conection - Data → bei Auto-login username den sudo Root User des Servers eintragen

jetzt auf → Conection → SSH → Auth → klicken und unter - Private key file for authentication - den SSH-Key eingeben - C:\Users\Name\.ssh\id_rsa.ppk

jetzt auf → Session - klicken → unter Host Name (or IP address) die IP adresse des Servers oder den Hostnamen eingeben und unter Port das gewählte SSH Port

bei Connection type: SSH auswählen

unter - Save Sessions - einen Namen eingeben und mit Save speichern

ein Doppelklick auf diesen Namen öffnet das Eingabefeld zum Server

PuTTY neustarten und mit neuem Port einloggen

Wenn Sie sich mit Ihrem neuen Port und dem SSH-Key nicht anmeldet können, haben Sie einen Fehler in den Vorhergehenden Schritten und sollten diesen jetzt beheben.

'''Sie haben keinen Zugriff mehr über SSH wenn es hier einen Fehler gibt.'''

Ist alles okay - > Putty Shell schließen
exit
und mit Ihren neu eingerichdeten SSH Zugang einloggen - anmelden mit Ihrem SERVER.PASSWORD

==UFW Firewall einrichten==
Firewall Status abfragen
sudo ufw status
wenn inaktiv UFW Firewall aktivieren und mit ‚y‘ bestätigen
sudo ufw enable
alle eingehenden Anfragen blocken
sudo ufw default deny incoming
alle ausgehenden Anfragen erlauben
sudo ufw default allow outgoing
IPv6 unterstützung aktivieren
cat /etc/default/ufw
Sie können mit dem Standard SSH Port weitermachen, wenn Sie es nicht geändert haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw allow SSH
Falls Sie das Port geändert haben verwenden Sie bitte diesen Befehl

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rote Port mit Ihrem Port ersetzen
#sudo ufw allow PORT
zusätzliche Sicherheit gibt es, wenn man nur ausgewählte IP Adresse zulässt

die FROM.IP identifizieren mit der man am Server angemeldet ist
w
erhaltene IP Adresse übernehmen und als FROM.IP Adresse einfügen – ggf. eigene Portadresse.

So haben Sie am Server nur SSH Zugang mit der IP Ihres Clientrechners und dem SSH Port das Sie gewählt haben

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>sudo ufw allow proto tcp from FROM.IP to SERVER.IP port PORT
Wenn Sie diese Einstellung machen müssen Sie in Ihrem Router dafür sorgen das Ihr PC immer dieselbe FROM.IP hat.

Zu guter Letzt müssen Sie für einen reibungslosen Betrieb noch die Standart Ports für HTTP und HTTPS freigeben.
sudo ufw allow http

sudo ufw allow https
ggf Limits für das SSH Port eingeben

Näheres dazu finden Sie zum beispiel [https://www.cyberciti.biz/faq/howto-limiting-ssh-connections-with-ufw-on-ubuntu-debian/ hier]

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
<nowiki>#</nowiki>sudo ufw limit ssh
zur Kontrolle Firewall Status abfragen
sudo ufw status
UFW Firewall neustarten
sudo ufw reload
Überprüfen ob die UFW Firewall als Service einrichten ist und UFW bei jedem Neustart des Servers aktiviert wird - mit ‚q‘ verlassen
sudo systemctl status ufw.service
nicht zu empfehlen aber manchmal nötig

UFW Firewall deaktivieren - deaktiviert auch den Service

Falls Sie diesen Befehl verwenden bitte die # vor sudo entfernen
#sudo ufw disable
Starten Sie Ihren Server und Putty neu
sudo reboot now
Die Einrichtung Ihres gesicherten SSH Zuganges und der Ubuntu eigenen Firewall ist jetzt abgeschlossen.

==Vorbereiten der Einrichtung Ihres Servers==
Nach dem Neustart melden Sie sich mit privilegierten Benutzerrechten am Server an
sudo -s
Installieren Sie die folgenden Softwarepakete, als notwendige Grundlage für den Serverbetriebs
apt update -q4 && apt install -y curl gnupg2 git lsb-release ssl-cert ca-certificates apt-transport-https tree locate software-properties-common dirmngr screen htop net-tools zip unzip bzip2 ffmpeg ghostscript libfile-fcntllock-perl libfontconfig1 libfuse2 lsb-release socat
Nach der Installation sorgen Sie für eine saubere Umgebung und machen ein Server update, upgrade und bereinigen den Server von unnötigen Datensätzen.
apt update && apt upgrade -V && apt dist-upgrade && apt autoremove -y
Tragen Sie den zukünftigen Servernamen sowohl in die hosts-Datei, als auch in die hostname-Datei ein.
mv /etc/host /etc/host.bak

nano /etc/hosts
das rot geschriebene mit Ihren Daten ersetzen
127.0.0.1 localhost
127.0.1.1 ihre.domain.de
<nowiki>#</nowiki> The following lines are desirable for IPv6 capable hosts
<nowiki>::</nowiki>1 ihre.domain.de ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
<externe IPv4> ihre.domain.de
<externe IPv6> ihre.domain.de
Geben Sie den korrekten Servername in der hostname-Datei an
nano /etc/hostname
Der Servername muss als FQDN, also vollqualifiziert angegeben werden

vorhandenen Eintrag löschen und mit neuem ersetzen

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de
Die meisten Internet Provider betreiben ihren eigenen Zeitserver.

Hier eine kleine Liste der Zeitserver Adressen in [https://www.ntp-server.de/ntp-server-deutschland/ Deutschland], [https://www.ntp-server.de/ntp-server-oesterreich/ Österreich], [https://www.ntp-server.de/ntp-server-schweiz/ Schweiz]

Es wird empfohlen das man 5 Zeitserver einbinden soll, hier habe ich 2 vorgegeben, Sie können die Array ändern und nach Ihren wünschen erweitern

Konfigurieren Sie den Zeitserverdienst und fügen Sie die Zeitserver hinzu.
NTP=ntp1.dismail.de ntp2.dismail.de
Speichern und den Zeitserver für Ihren Server neu Starten
systemctl restart systemd-timesyncd
Für die Individuelle Nutzung ist es nicht praktikabel das der Server in den Energiesparmodus wechselt.

Daher sorgen Sie nun dafür, dass der Server dies nicht tut.
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit Ihren privilegierten Benutzerrechten am Server an
sudo -s
==Installieren von NGINX==
Fügen Sie dem System weitere Software-Repositorien (Softwarequellen) hinzu, um die aktuellen Releases der jeweiligen Pakete installieren zu können.

==='''Das folgende gilt nur für Ubuntu Server (AMD64 und ARM64)'''===
Stellen Sie sicher, dass das Paket „ubuntu-keyring“ installiert ist
apt install -y ubuntu-keyring
Fügen Sie Ihrem System den nginx-Key hinzu
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Tragen Sie anschließend die Softwarequellen für [https://www.nginx.com/ Nginx] ein
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/ubuntu</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list
Um auch die aktuellen PHP-Ressourcen verwenden zu können fügen wir das entsprechende

Repository hinzu:
add-apt-repository -y ppa:ondrej/php
==='''Das folgende gilt nur für nur Debian Server (AMD64):'''===
Stellen Sie sicher, dass das Paket „debian-archive-keyring“ installiert ist
apt install -y debian-archive-keyring
Fügen sie Ihrem Server den nginx-Key hinzu:
curl <nowiki>https://nginx.org/keys/nginx_signing.key</nowiki> | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
Ergänzen Sie die Softwarequellen für [https://www.nginx.com/ Nginx] und PHP
echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] <nowiki>http://nginx.org/packages/mainline/debian</nowiki> `lsb_release -cs` nginx" | tee /etc/apt/sources.list.d/nginx.list

echo "deb [arch=amd64] <nowiki>https://packages.sury.org/php/</nowiki> $(lsb_release -cs) main" | tee /etc/apt/sources.list.d/php.list
Um auch den PHP-Quellen vertrauen zu können ergänzen wir auch diesen Schlüssel:
wget -qO - <nowiki>https://packages.sury.org/php/apt.gpg</nowiki> | apt-key add -
==='''Ab hier geht es wieder für beide Server-Betriebssysteme (Ubuntu und Debian) weiter:'''===
Ergänzen Sie die Paketquellen für MariaDB und aktualisieren das System

'''Vorbereitung MariaDB''':
cd ~
wget <nowiki>https://downloads.mariadb.com/MariaDB/mariadb_repo_setup</nowiki>
chmod +x mariadb_repo_setup
./mariadb_repo_setup --mariadb-server-version="mariadb-10.6"
Aktualisierung des Servers:
apt update
Um sicherzustellen, dass keine Relikte früherer Installationen den Betrieb des Webserver stören, entfernen wir diese
apt remove nginx nginx-extras nginx-common nginx-full -y --allow-change-held-packages
Zudem stellen wir sicher, dass das Pendant (Apache2) zum Nginx Webserver weder aktiv noch installiert ist.
systemctl stop apache2.service && systemctl disable apache2.service
Nun sind die Vorbereitungen zur Installation des Webservers Nginx abgeschlossen und wir können diesen mit dem nachfolgenden Befehl installieren
apt install -y nginx
und den Dienst zum automatischen Start nach einem Systemneustart einrichten
systemctl enable nginx.service
Mit Blick auf die späteren Anpassungen wird die Standardkonfiguration gesichert und eine neue Konfigurationsdatei geöffnet
mv /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak && touch /etc/nginx/nginx.conf

nano /etc/nginx/nginx.conf
Kopieren Sie den gesamten nachfolgenden Inhalt in die Datei

das rot geschriebene mit Ihren Daten ersetzen
user www-data;
worker_processes auto;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
multi_accept on; use epoll;
}
http {
server_names_hash_bucket_size 64;
access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log warn;
# set_real_ip_from 127.0.0.1; # eine Änderung ist nur nötig, wenn Sie nicht auf Localhost sind
real_ip_header X-Forwarded-For;
real_ip_recursive on;
include /etc/nginx/mime.types;
default_type application/octet-stream;
sendfile on;
send_timeout 3600;
tcp_nopush on;
tcp_nodelay on;
open_file_cache max=500 inactive=10m;
open_file_cache_errors on;
keepalive_timeout 65;
reset_timedout_connection on;
server_tokens off;
resolver 127.0.0.53 valid=30s;
resolver_timeout 5s;
include /etc/nginx/conf.d/*.conf;
}
Speichern Sie die Datei und schließen Sie diese, um im Anschluss den Webserver neu zu starten
service nginx restart
Legen Sie drei Ordner an und setzen die korrekten Berechtigungen
/var/log/dolibarr -> für die zukünftigen log Files
/mnt/dokument -> ist Ihr Dokument Ortner
/var/www/dolibarr -> ist Ihr ROOT Ordner für Dolibarr
das rot geschriebene mit Ihren Daten ersetzen
mkdir -p /var/log/dolibarr /mnt/dokument /var/www/dolibarr

chown -R www-data:www-data /mnt/dokument /var/www/dolibarr /var/log/dolibarr
Erstellen Sie die nötigen Ordner für die SSL-Zertifikate
mkdir -p /var/www/letsencrypt/.well-known/acme-challenge /etc/letsencrypt/rsa-certs /etc/letsencrypt/ecc-certs
Markieren des „Hilfs“ SSL Zertifikats
make-ssl-cert generate-default-snakeoil -y
Starten Sie abschließend den Server neu
reboot now
und melden sich dann erneut mit privilegierten Benutzerrechten am Server an
sudo -s
==PHP Installieren==
Das [https://www.php.net/ PHP] Repository wurde bereits im vorherigen Kapitel eingerichtet und aktiviert, so dass wir direkt mit der Installation beginnen können
apt update -q4 && apt install -y php7.4-fpm php7.4-common php7.4-curl php7.4-intl php7.4-mbstring php7.4-mcrypt php7.4-json php7.4-xmlrpc php7.4-soap php7.4-mysql php7.4-gd php7.4-xml php7.4-cli php7.4-zip
Setzen Sie das richtige Datumsformat, um auch ein korrektes Logging zu ermöglichen

[https://www.php.net/manual/en/timezones.europe.php Hier] eine Aufstellung um die für Sie passende zu finden

das rot geschriebene mit Ihren Daten ersetzen
timedatectl set-timezone Europe/Berlin
jetzt können wir die php.ini anpassen
sed -i "s/file_uploads =.*/file_uploads = On/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/memory_limit =.*/memory_limit = 1024M/" /etc/php/7.4/fpm/php.ini

sed -i "s/;cgi.fix_pathinfo=.*/cgi.fix_pathinfo = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/upload_max_filesize =.*/upload_max_filesize = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/post_max_size =.*/post_max_size = 100M/" /etc/php/7.4/fpm/php.ini

sed -i "s/max_execution_time =.*/max_execution_time = 3600/" /etc/php/7.4/fpm/php.ini

sed -i "s/;date.timezone =.*/date.timezone = Europe\/\Berlin/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
==MariaDB Installieren==
Die Installation von [https://mariadb.org/ MariaDB] erfolgt mit diesem Befehl
apt update -q4 && apt install -y mariadb-server
Härten wir nun den Datenbankserver mittels des mitgelieferten Tools „mysql_secure_installation“

Bei einer Erstinstallation besteht kein Root Passwort, so dass Sie die Abfrage mit ENTER bestätigen könne. Es wird empfohlen, ein Passwort direkt zu setzen, der entsprechende Dialog erscheint automatisch

das rot geschriebene mit Ihren Daten ersetzen
mysql_secure_installation

Enter current password for root (enter for none): <ENTER>
Switch to unix_socket authentication [Y/n] Y
Set root password? [Y/n] Y

root-Passwort 2-mal eingeben – Ihr-starkes-stück-Passwort -

Remove anonymous users? [Y/n] Y
Disallow root login remotely? [Y/n] Y
Remove test database and access to it? [Y/n] Y
Reload privilege tables now? [Y/n] Y
Stoppen Sie nun den Datenbankserver und sichern dann die Standardkonfiguration, um unmittelbar danach Anpassungen vornehmen zu können
service mysql stop

mv /etc/mysql/my.cnf /etc/mysql/my.cnf.bak

nano /etc/mysql/my.cnf
Kopieren Sie alle nachfolgenden Zeilen in die leere Datei
[client]
default-character-set = utf8mb4
port = 3306
socket = /var/run/mysqld/mysqld.sock
[mysqld_safe]
log_error=/var/log/mysql/mysql_error.log
nice = 0
socket = /var/run/mysqld/mysqld.sock
[mysqld]
basedir = /usr
bind-address = 127.0.0.1
binlog_format = ROW
bulk_insert_buffer_size = 16M
character-set-server = utf8mb4
collation-server = utf8mb4_general_ci
concurrent_insert = 2
connect_timeout = 5
datadir = /var/lib/mysql
default_storage_engine = InnoDB
expire_logs_days = 2
general_log_file = /var/log/mysql/mysql.log
general_log = 0
innodb_buffer_pool_size = 2G
innodb_buffer_pool_instances = 1
innodb_flush_log_at_trx_commit = 2
innodb_log_buffer_size = 32M
innodb_max_dirty_pages_pct = 90
innodb_file_per_table = 1
innodb_open_files = 400
innodb_io_capacity = 4000
innodb_flush_method = O_DIRECT
innodb_read_only_compressed=OFF
key_buffer_size = 128M
lc_messages_dir = /usr/share/mysql
lc_messages = en_US
log_bin = /var/log/mysql/mariadb-bin
log_bin_index = /var/log/mysql/mariadb-bin.index
log_error = /var/log/mysql/mysql_error.log
log_slow_verbosity = query_plan
log_warnings = 2
long_query_time = 1
max_allowed_packet = 16M
max_binlog_size = 100M
max_connections = 200
max_heap_table_size = 64M
myisam_recover_options = BACKUP
myisam_sort_buffer_size = 512M
port = 3306
pid-file = /var/run/mysqld/mysqld.pid
query_cache_limit = 2M
query_cache_size = 64M
query_cache_type = 1
query_cache_min_res_unit = 2k
read_buffer_size = 2M
read_rnd_buffer_size = 1M
skip-external-locking
skip-name-resolve
slow_query_log_file = /var/log/mysql/mariadb-slow.log
slow-query-log = 1
socket = /var/run/mysqld/mysqld.sock
sort_buffer_size = 4M
table_open_cache = 400
thread_cache_size = 128
tmp_table_size = 64M
tmpdir = /tmp
transaction_isolation = READ-COMMITTED
<nowiki>#</nowiki>unix_socket=OFF
user = mysql
wait_timeout = 600
[mysqldump]
max_allowed_packet = 16M
quick
quote-names
[isamchk]
key_buffer = 16M
Speichern und schließen Sie die Datei und starten dann den Datenbankserver neu, um die Dolibarr-Datenbank, den Dolibarr-Benutzer und sein Passwort einzurichten:

root-Passwort eingeben – Ihr-starkes-stück-Passwort -

das rot geschriebene mit Ihren Daten ersetzen
service mysql restart

mysql -uroot -p

CREATE DATABASE DatenbankName CHARACTER SET utf8mb4 COLLATE utf8mb4_general_ci; CREATE USER DatenbankUser@localhost identified by 'DatenbankPasswort'; GRANT ALL PRIVILEGES on DatenbankName.* to DatenbankUser@localhost; FLUSH privileges; quit;
Aus Erfahrung heraus empfehle ich Ihnen, den Server einmalig neu zu starten:
reboot now
Wir richten nun verschiedene vhost, also Serverkonfigurationsdateien ein und modifizieren die Standard vhost-Datei persistent.

Sichern die Standard vhost-Datei namens default.conf und legen leere vHost-Dateien zum Konfigurieren an.
sudo -s

[ -f /etc/nginx/conf.d/default.conf ] && mv /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak

touch /etc/nginx/conf.d/default.conf

touch /etc/nginx/conf.d/http.conf

touch /etc/nginx/conf.d/dolibarr.conf
Somit ist durch die leere „default.conf“ Datei auch bei späteren Aktualisierungen des Webservers sichergestellt, dass diese Standardkonfiguration den Dolibarr betrieb nicht beeinflusst.

Erstellen Sie die globale vhost-Datei, um die http-Standardanfragen permanent auf https umzuleiten und zudem die SSL-Zertifikatskommunikation mit Let’sEncrypt zu ermöglichen
nano /etc/nginx/conf.d/http.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei http.conf

das rot geschriebene mit Ihren Daten ersetzen
upstream php-handler {
server unix:/run/php/php7.4-fpm.sock;
}
server {
listen 80 default_server;
listen [::]:80 default_server;
server_name ihre.domain.de;
root /var/www;
location ^~ /.well-known/acme-challenge {
default_type text/plain;
root /var/www/letsencrypt;
}
location / {
return 301 <nowiki>https://$host$request_uri</nowiki>;
}
}
Bearbeiten Sie nun die eigentliche Dolibarr vHost-Datei „dolibarr.conf“, die sämtliche Konfigurationen für den Betrieb von Dolibarr enthält.
nano /etc/nginx/conf.d/dolibarr.conf
Kopieren Sie alle nachfolgenden Zeilen in die Datei dolibarr.conf

das rot geschriebene mit Ihren Daten ersetzen
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
root /var/www/dolibarr/htdocs;
index index.php index.html index.htm;
server_name ihre.domain.de;

ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key;
ssl_trusted_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem;
#ssl_certificate /etc/letsencrypt/rsa-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/rsa-certs/privkey.pem;
#ssl_certificate /etc/letsencrypt/ecc-certs/fullchain.pem;
#ssl_certificate_key /etc/letsencrypt/ecc-certs/privkey.pem;
#ssl_trusted_certificate /etc/letsencrypt/ecc-certs/chain.pem;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers 'TLS-CHACHA20-POLY1305-SHA256:TLS-AES-256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384';
ssl_ecdh_curve X448:secp521r1:secp384r1;
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;

client_max_body_size 100M;
client_body_timeout 3600s;
fastcgi_buffers 64 4K;

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/)
{
return 404;
}
location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console)
{
return 404;
}

location ~ [^/]\.php(/|$)
{
fastcgi_split_path_info ^(.+?\.php)(/.*)$;
fastcgi_pass unix:/run/php/php7.4-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param PATH_INFO $fastcgi_path_info;
fastcgi_param PATH_TRANSLATED $document_root$fastcgi_script_name;
include fastcgi_params;
fastcgi_read_timeout 3600;
fastcgi_send_timeout 3600;
}

location ~ ^/api/(?!(index\.php))(.*)
{
try_files $uri /api/index.php/$2?$query_string;
}

gzip on;
gzip_vary on;
gzip_comp_level 4;
gzip_min_length 256;
gzip_proxied expired no-cache no-store private no_last_modified no_etag auth;
gzip_types application/atom+xml application/javascript application/json application/ld+json application/manifest+json application/rss+xml application/vnd.geo+json application/vnd.ms-fontobject application/wasm application/x-font-ttf application/x-web-app-manifest+json application/xhtml+xml application/xml font/opentype image/bmp image/svg+xml image/x-icon text/cache-manifest text/css text/plain text/vcard text/vnd.rim.location.xloc text/vtt text/x-component text/x-cross-domain-policy;

location ^~ /.well-known
{
location = /.well-known/carddav
{
return 301 /remote.php/dav/;
}
location = /.well-known/caldav
{
return 301 /remote.php/dav/;
}
location /.well-known/acme-challenge
{
try_files $uri $uri/ =404;
}
location /.well-known/pki-validation
{
try_files $uri $uri/ =404;
}
return 301 /index.php$request_uri;
}
}
wenn Sie Ihr Dolibarr hinter einem Proxi oder Revers-Proxi installieren müssen Sie dafür eine weiter .conf erstellen
nano /etc/nginx/conf.d/proxi.conf
Kopieren Sie nachstehendes in Ihre proxi.conf

das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki> nur verwenden, wenn Sie einen Proxi oder revers-Proxi Server nutzen

server {
listen 80;
location /
{
proxy_pass <nowiki>http://</nowiki>SERVER-IP;
client_max_body_size 100M;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
proxy_http_version 1.1;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $host;
}
}
Speichern und schließen Sie diese Datei und erweitern dann die Server- und Systemsicherheit durch die Möglichkeit des sicheren Schlüsselaustauschs mittels eines [https://de.wikipedia.org/wiki/Diffie-Hellman-Schl%C3%BCsselaustausch Diffie-Hellman] Schlüssels
openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096
Das Generieren kann – in Abhängigkeit von der Systemleistung – einige Minuten dauern. Erst wenn das Generieren abgeschlossen ist, starten Sie den Webserver erneut.
service nginx restart
Webserver erneut starten.
service nginx restart

==Erstellen der Let’s Encrypt Zertifikate==
Bitte stellen Sie sicher, dass Ihr Server sowohl über Port 80/TCP als auch über Port 443/TCP von außen erreichbar ist.

Das Erstellen und Aktualisieren von [https://letsencrypt.org/ Let’s Encrypt] Zertifikaten erfolgt zwingend über http und Port 80!

Wenn Sie auf einem Heimserver arbeiten erfolgt die Freigabe auf Ihren Router

Zudem muss eine Umleitung Ihrer Domain bei Ihrem Provider bestehen.

Wie das geht erfahren sie bei Ihrem Provider und in den Einstellungen Ihres Routers.

Für das Zertifikatshandling erstellen wir nun einen dedizierten Benutzer und fügen diesen der www-data Gruppe hinzu

Einfach Enter drücken ohne etwas einzutragen bis ->

Is the information correct? [Y/n] Y
adduser --disabled-login certuser
geben Sie Ihrem „Hilfsuser“ die nötigen Rechte
usermod -a -G www-data certuser
Diesem technischen Benutzer erteilen wir noch die notwendigen Berechtigungen, um bei einer Zertifikatserneuerung den notwendigen Webserverstart initiieren zu können.
touch /etc/sudoers.d/certuser

cat <<EOF >/etc/sudoers.d/certuser
certuser ALL=NOPASSWD: /bin/systemctl reload nginx.service
EOF
Bestätigen Sie mit Enter um die Datei zu befüllen

Wechseln Sie in die Shell des neuen Benutzers (certuser) um die Zertifikatssoftware zu installieren und verlassen diese Shell direkt im Anschluss wieder
su - certuser

curl <nowiki>https://get.acme.sh</nowiki> | sh

exit
Passen Sie die entsprechenden Datei- und Verzeichnisberechtigungen an, um die neuen Zertifikate darin speichern zu können
chmod -R 775 /var/www/letsencrypt && chmod -R 770 /etc/letsencrypt && chown -R www-data:www-data /var/www/ /etc/letsencrypt
Setzen Sie Let’s Encrypt als Standard CA für Ihren Server
su - certuser -c ".acme.sh/acme.sh --set-default-ca --server letsencrypt"
und wechseln dann erneut in die Shell des neuen Benutzers
su - certuser
'''Den nachfolgenden Schritt bitte sehr sorgfältig durchlesen, anpassen und ausführen!!'''

Let’s Encrypt gestattet nur maximal 5 Wiederholungen pro Domain und Woche, bei jedem durchlauf sind somit 2 Vorgänge weg.

Beantragen Sie nun die SSL-Zertifikate von Let’s Encrypt und ersetzen dabei ihre.domain.de mit Ihrer Domain

das rot geschriebene mit Ihren Daten ersetzen
acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/rsa-certs/privkey.pem --ca-file /etc/letsencrypt/rsa-certs/chain.pem --cert-file /etc/letsencrypt/rsa-certs/cert.pem --fullchain-file /etc/letsencrypt/rsa-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"

acme.sh --issue -d ihre.domain.de --server letsencrypt --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/ecc-certs/privkey.pem --ca-file /etc/letsencrypt/ecc-certs/chain.pem --cert-file /etc/letsencrypt/ecc-certs/cert.pem --fullchain-file /etc/letsencrypt/ecc-certs/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"
Verlassen Sie die Shell des neuen Benutzers
exit
Jetzt legen Sie ein Skript an, dass zukünftig die Berechtigungen überprüft und korrigiert
nano /root/permissions.sh
Kopieren Sie alle Zeilen in die Datei das rot geschriebene mit Ihren Daten ersetzen
<nowiki>#</nowiki>!/bin/bash
find /var/www/ -type f -print0 | xargs -0 chmod 0640
find /var/www/ -type d -print0 | xargs -0 chmod 0750
chmod -R 775 /var/www/letsencrypt
chmod -R 770 /etc/letsencrypt
chown -R www-data:www-data /var/www /etc/letsencrypt
chown -R www-data:www-data /mnt/dokument

exit 0
Markieren Sie das Skript als ausführbar und führen es dann direkt aus
chmod +x /root/permissions.sh

/root/permissions.sh
Entfernen Sie Ihre bisher verwendeten Self-Signed-Zertifikate aus nginx und aktivieren Sie die neuen, vollwertigen und bereits gültigen SSL Zertifikate von Let’s Encrypt.
sed -i '/ssl-cert-snakeoil/d' /etc/nginx/conf.d/dolibarr.conf

sed -i s/#\ssl/\ssl/g /etc/nginx/conf.d/dolibarr.conf
Um sowohl die SSL-Zertifikate automatisch zu erneuern, als auch den notwendigen Webserverneustart zu initiieren, wurde automatisch ein Cronjob angelegt.
crontab -l -u certuser
Starten Sie jetzt den Webserver neu
service nginx restart
==Installieren von Dolibarr==
Dafür gibt es mehrere Varianten.

Die Lösung die ich benutze ist vielleicht nicht die eleganteste jedoch können Sie sich sicher sein, dass Sie die aktuellste Version von [https://www.dolibarr.org/ Dolibarr] verwendet.

Ersetzen Sie die Versionsnummer gegen die aktuelle Dollibarr Versions Nummer die Sie, unter anderem auch, [https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/ hier] finden können.

Wir beginnen nun die ‚eigentliche‘ Installation von Dolibarr und laden das aktuelle Dolibarr Release herunter

das rot geschriebene mit Ihren Daten ersetzen
cd /tmp && wget <nowiki>https://sourceforge.net/projects/dolibarr/files/Dolibarr%20ERP-CRM/</nowiki>15.0.1/dolibarr-15.0.1.zip
Entpacken Sie Dolibarr
unzip dolibarr-15.0.1.zip && rm /tmp/dolibarr-15.0.1.zip
verschieben Sie den Inhalt von Ihem erzeugten Dolibarr Ordner in Ihr Webverzeichnis und entfernen Sie, im selben schritt, die Versionsnummer

das rot geschriebene mit Ihren Daten ersetzen
mv dolibarr-15.0.1/* /var/www/dolibarr
setzen der Berechtigung

das rot geschriebene mit Ihren Daten ersetzen
chown -R www-data:www-data /var/www/dolibarr
Wir können nun mit der installation von Dolibarr fortfahren.

Öffnen Sie Dolibarr in Ihrem Browser

das rot geschriebene mit Ihren Daten ersetzen
ihre.domain.de

den Dokumentortner eintragen - /mnt/dokument
den DatenbankName eintragen
Datenbank erstellen nicht anklicken
DatenbankUser und DatenbankPasswort eintragen
Erstellen Sie ein Benutzerkonto… anklicken
root und root-Passwort - Ihr-starkes-stück-Passwort -eintragen
Admin-Name und Admin-Passwort eintragen
jetzt können Sie sich bei Dolibarr einloggen
==Absicherung von Dolibarr==
Um Dolibarr in einer sicheren (zumindest sicherer) Umgebung zu nutzen machen Sie bitte mit der Serverseitigen Einrichtung weiter

Server update und upgrade und unnötiges löschen
apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y
Server neustart
reboot now
und mit dem priviligierten Benutzerrechten am Server anmelden
sudo -s
Jetzt wo die Installation geklappt hat können Sie die Lese- und Schreibzeiten wieder verringern
sed -i "s/fastcgi_read_timeout.*/fastcgi_read_timeout 360/" /etc/nginx/conf.d/dolibarr.conf

sed -i "s/fastcgi_send_timeout.*/fastcgi_send_timeout 360/" /etc/nginx/conf.d/dolibarr.conf
Jetzt legen Sie die install.lock an um zu verhindern das eine erneute Installation erfolgt

das rot geschriebene mit Ihren Daten ersetzen
nano /mnt/dokument/install.lock

<nowiki>#</nowiki> nur ein Enter und wieder raus
Texteditor verlassen - bei nano CTRL+x (STRG+x) - save mit y bestätigen

Wie solltes es auch ander5s sein müssen Sie auch die php.ini anpassen
sed -i "s/session.use_strict_mode =.*/session.use_strict_mode = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.use_only_cookies =.*/session.use_only_cookies = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_httponly =.*/session.cookie_httponly = 1/" /etc/php/7.4/fpm/php.ini

sed -i "s/session.cookie_samesite =.*/session.cookie_samesite = Lax/" /etc/php/7.4/fpm/php.ini

sed -i "s/;allow_url_fopen =.*/allow_url_fopen = Off/" /etc/php/7.4/fpm/php.ini

sed -i "s/allow_url_include =.*/allow_url_include = Off/" /etc/php/7.4/fpm/php.ini
Sie können die PHP-Funktionen deaktivieren, falls Sie keine Systembefehle in benutzerdefiniertem Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,pcntl_unshare,passthru,shell_exec,system,proc_open,popen/" /etc/php/7.4/fpm/php.ini
für den fall das Sie Ihre Meinung ändert und doch benutzerdefinierte Code ausführen
sed -i "s/disable_functions =.*/disable_functions = pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals/" /etc/php/7.4/fpm/php.ini
Starten Sie nun beide Dienste, nginx und PHP, neu
service php7.4-fpm restart

service nginx restart
Öffnen Sie bei Dolibarr gehen Sie auf Einstellungen → Sicherheit → klick auf den Reiter Passwörter → ganz runter scrollen, hier klicken Sie bei -> Datenbankpasswort in der Konfigurationsdatei conf.php verschlüsselt speichern (empfohlene Einstellung) auf → Aktivieren

gehen Sie zurück zur Serverseite

das rot geschriebene mit Ihren Daten ersetzen
nano /var/www/dolibarr/htdocs/conf/conf.php
nachstehendes suchen und anpassen, speichern und schließen
$dolibarr_main_prod=<nowiki>''</nowiki>; -> ändern in -> $dolibarr_main_prod='1';
Jetzt vergeben Sie an die /conf.php nur Leserechte

das rot geschriebene mit Ihren Daten ersetzen
chmod -R 400 /var/www/dolibarr/htdocs/conf/conf.php

==Installieren von fail2ban==
Als nächstes installieren wir [http://www.fail2ban.org/wiki/index.php/Main_Page Fail2ban] um den Server gegen Brute-force-Attacken und

fehlerhafte Login versuche zu schützen:
apt update -q4 && apt install -y fail2ban
Erstellen Sie eine neue Filterdatei für "Passwort vergessen" und beschreiben sie
touch /etc/fail2ban/filter.d/passforgotten.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passforgotten.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+--- Access to .*/passwordforgotten.php - action=buildnewpassword
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Erstellen Sie eine neue Filterdatei für "Passwort Falscheingabe" und beschreiben sie

nachfolgend beschrieben
touch /etc/fail2ban/filter.d/passwrong.conf
Kopieren Sie alles von „cat …“ bis „… EOF“ und fügen es in die Shell ein:
cat <<EOF >/etc/fail2ban/filter.d/passwrong.conf
[Definition]
failregex = ^ [A-Z\s]+ <HOST>\s+functions_dolibarr::check_user_password_.* Authentication KO
ignoreregex =
EOF
Bestätigen Sie mit Enter um die Datei zu erstellen

Damit dieser Filter zum Einsatz kommt, wird dies Fail2ban noch bekannt gemacht:
nano /etc/fail2ban/jail.local
Hier fügen wir folgenden Inhalt ein
[passforgotten]
<nowiki>;</nowiki> rule against call of passwordforgottenpage
enabled = true
port = http,https
filter = passforgotten
logpath = /var/log/passforgotten.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5

[passwrong]
<nowiki>;</nowiki> rule against bruteforce hacking (login + api)
enabled = true
port = http,https
filter = passwrong
logpath = /var/log/passwrong.log
action = %(action_mw)s
bantime = 86400 ; 1 day
findtime = 3600 ; 1 hour
maxretry = 5
Erstellen Sie 2 Logfiles für ihre Dolibarr-Filter

fügen Sie in jedes Log nur ein Enter ein und speichern
nano /var/log/passforgotten.log

nano /var/log/passwrong.log
Mit den zuvor dargestellten Parametern wird nach 5 fehlerhaften Anmeldeversuchen (maxretry) innerhalb der letzten 3600 (findtime, das entspricht 1h) die IP des potentiellen Angreifers für einen Zeitraum von 86400 Sekunden (bantime, enspricht 1Tag) gesperrt.

Starten Sie fail2ban neu und überprüfen den fail2ban-status
service fail2ban restart

service fail2ban status
Wenn Sie alles richtig eingegeben haben ist der Status "grün" sein
==Installieren von Postfix==
Aktualisieren Sie ihren Server und installieren Sie [https://www.postfix.org/ Postfix].

Sie haben damit die Möglichkeit, sich von Fail2ban, Apticron und bei SSH-Anmeldungen per Mail informieren zu lassen
apt update -q4 && apt install -y postfix mailutils
Erstellen Sie Ihre Mailkonfiguration
Wählen Sie zuerst Satellitensystem aus
geben dann ihre.domain.de und zuletzt
noch Ihren smtp.server ein
verschieben Sie die Original main.cf nach main.cf.bak
mv /etc/postfix/main.cf /etc/postfix/main.cf.bak
und fügen Sie nun die folgende Postfixkonfiguration ein
nano /etc/postfix/main.cf
Fügen Sie das Nachfolgende ein

das rot geschriebene mit Ihren Daten ersetzen
smtpd_banner = $myhostname ESMTP $mail_name (Ubuntu)
biff = no
append_dot_mydomain = no
readme_directory = no
compatibility_level = 2
smtpd_tls_security_level=may
smtp_tls_security_level=may
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
smtpd_relay_restrictions = permit_mynetworks permit_sasl_authenticated defer_unauth_destination
myhostname = localhost #sollten Ihr Server nicht der localhost sein das anpassen
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
mydestination = $myhostname, ihre-domain.de, localhost.ihre.dolain.de, localhost
relayhost = smtp.Server:587
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = loopback-only
inet_protocols = all
<nowiki>#</nowiki>Bei Problemen mit IPv6 stellen Sie die Zeile wie nachfolgend um
<nowiki>#</nowiki>inet_protocols = ipv4
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
sender_canonical_maps = hash:/etc/postfix/sender_canonical
smtp_use_tls = yes
smtp_enforce_tls = yes
erstellen und hinterlegen Sie nun die Zugangsdaten für das Versenden von Mails
nano /etc/postfix/sasl_passwd
verwenden Sie bitte hier Ihre Email Zugangsdaten von Ihrem Mailanbieter

Tragen Sie die Daten wie folgt ein und ersetzen die roten Werte durch Ihre
smtp.server ihre@mailadresse.de:ihr.Email.Passwort
Da in dieser Datei das Passwort im Klartext steht setzen wir die Dateiberechtigungen auf 600 (nur ein User mit Server-Root-Recht kann schreiben und lesen)
chmod 600 /etc/postfix/sasl_passwd
Schreiben Sie nun die Domain in die Datei mailname
nano /etc/mailname
Ersetzen Sie den roten Wert durch Ihre Email Domain
mailadresse.de
Abschließend definieren wir noch den Bezug von Benutzern zu Mailadressen. Öffnen Sie die Datei
nano /etc/postfix/sender_canonical
und legen dort Benutzer und Mailadressen fest
root ihre@mailadresse.de
< ihre@mailadresse.de > ihre@mailadresse.de
www-data ihre@mailadresse.de
default ihre@mailadresse.de
Jetzt werden die Konfiguration kompiliert und Postfix neu gestartet
postmap /etc/postfix/sasl_passwd

postmap /etc/postfix/sender_canonical

service postfix restart
Testen Sie nun den Versandt einer Mail über Ihr Postfix
echo "Dies ist eine Testmail" | mailx -s "Test ob Ihre Einstellungen richtig sind" ihre@mailadresse.de
Sollte die Mail nicht ankommen, so sehen Sie bitte im Log (mail.log) nach
nano /var/log/mail.log
Passen Sie die PHP-Konfiguration an um auch PHP-Mails über postfix zu versenden

Setzen Sie den sendmail_path wie folgt:
sed -i "s/;sendmail_path =.*/sendmail_path = \/usr\/\sbin\/\sendmail -t -i/" /etc/php/7.4/fpm/php.ini
und starten dann PHP neu
service php7.4-fpm restart
Ersetzen Sie in der fail2ban-Konfiguration die nachfolgenden Parameter durch Ihre, um Benachrichtigungen bei fehlerhaften Login versuchen und Banns zu erhalten. Sichern Sie dazu die Originalkonfiguration von fail2ban und bearbeiten diese dann

das rot geschriebene mit Ihren Daten ersetzen
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.conf.bak

sed -i "s/destemail =.*/destemail = ihre@mailadresse.de /" /etc/fail2ban/jail.conf

sed -i "s/sender =.*/sender = ihre@mailadresse.de /etc/fail2ban/jail.conf

sed -i "s/mta =.*/mta = mail/" /etc/fail2ban/jail.conf

sed -i "s/action = %(action_)s.*/action = %(action_mwl)s/" /etc/fail2ban/jail.conf
Um bei einem Serverneustart fail2ban-Mails zu unterdrücken passen Sie die folgende Datei an
nano /etc/fail2ban/action.d/mail-buffered.local
Kopieren Sie den Inhalt hinein
[Definition]
actionstart =
actionstop =
Legen Sie dann Dummy-Dateien durch das Ausführen der folgenden Befehle an
cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois-lines.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/mail-whois.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-buffered.local

cp /etc/fail2ban/action.d/mail-buffered.local /etc/fail2ban/action.d/sendmail-common.local
Starten Sie den fail2ban-Service neu
service fail2ban restart
und Sie werden ab sofort (nur noch) bei Banns, also neu blockierten IP-Adressen die durch fehlerhafte Login versuche aufgefallen sind, informiert.
==Information über Server Updates und Upgrades==
[https://wiki.ubuntuusers.de/apticron/ Apticron] informiert Sie über verfügbare Systemaktualisierungen bzw. auch dann, wenn ihr System „up2date“ ist

Installieren Sie Apticron aus den Standardsoftwarequellen von Ubuntu
apt update -q4 && apt install -y apticron
Nun passen wir apticron an und ändern wenigstens die folgenden Parameter

Die .conf ist selbsterklärend und Sie können weitere Anpassungen nach Ihren Vorstellungen vornehmen
cp /usr/lib/apticron/apticron.conf /etc/apticron/apticron.conf

nano /etc/apticron/apticron.conf
Suchen Sie bitte mit strg+w (ctrl+w) alles vor dem "=" und ersetzen es mit Ihren Daten

das rot geschriebene mit Ihren Daten ersetzen
EMAIL="ihre@mailadresse.de"

SYSTEM="ihre.domain.de"

NOTIFY_HOLDS="1"

NOTIFY_NO_UPDATES="1"

CUSTOM_SUBJECT='$SYSTEM: $NUM_PACKAGES package update(s)'

CUSTOM_NO_UPDATES_SUBJECT='$SYSTEM: no updates available'

CUSTOM_FROM="ihre@mailadresse.de"
Überprüfen Sie Apticron und den soeben konfigurierten Mailversand indem sie Apticron aufrufen
apticron
Sie erhalten nun umgehend eine Mailbenachrichtigungen über Ihren aktuellen Systemzustand. Passen Sie zuletzt noch den Cronjob an, um sich regelmäßig und automatisch benachrichtigen zu lassen

cm /etc/cron.d/apticron /etc/cron.d/apticron.bak
nano /etc/cron.d/apticron
nachfolgendes bitte einfügen

das rot geschriebene mit Ihren Daten ersetzen - dabei handelt es sich um eine Zeitangabe - Minute Stunde
30 7 * * * root if test -x /usr/sbin/apticron; then /usr/sbin/apticron --cron; else true; fi
Apticron Informiert Sie jetzt jeden zu der von Ihnen eingestellten Uhrzeit per Mail über Ihren Systemaktualitätsgrad und möglich Aktualisierungs Maßnahmen.

Näheres über Cron und die möglichen intervalle können Sie [https://wiki.ubuntuusers.de/Cron/ hier] nachlesen
==Nachricht bei SSH Einwahl==
wenn Sie über erfolgreichen SSH-Einwahl informiert werden möchten Passen Sie die Profildatei an
nano /etc/profile
erweitern Sie die Datei am Ende um die folgenden Zeilen

das rot geschriebene mit Ihren Daten ersetzen
if [ -n "$SSH_CLIENT" ]; then
echo 'Login on' `hostname` `date` `who -m` | mail -s "Login on `hostname` from `echo $SSH_CLIENT |
awk '{print $1}'`" ihre@mailadresse.de
fi
Bei jeder erfolgreichen SSH-Einwahl werden Sie ab sofort aktiv benachrichtigt.

Solange Sie selbst es wahren ist alles okay – aber wenn nicht……
service php7.4-fpm restart

service nginx restart

apt update && apt upgrade -V && apt dist-upgrade -y && apt autoremove -y

reboot now
==Installation und Konfiguration von Redis==
So installieren Sie den [https://redis.io/ Redis] um die Dolibarrperformance zu steigern, da durch Redis die Last auf der MariaDB-Dolibarrdatenbank reduziert wird

Wechseln Sie in den privilegierten Benutzermodus
sudo -s
Installieren Sie Redis
apt update -q4 && apt install -y redis-server
Passen Sie die Redis Konfiguration durch das Sichern und Anpassen der Konfiguration durch Ausführen der nachfolgenden Befehle an
cp /etc/redis/redis.conf /etc/redis/redis.conf.bak

sed -i "s/port 6379/port 0/" /etc/redis/redis.conf

sed -i s/\#\ unixsocket/\unixsocket/g /etc/redis/redis.conf

sed -i "s/unixsocketperm 700/unixsocketperm 770/" /etc/redis/redis.conf

sed -i "s/# maxclients 10000/maxclients 10240/" /etc/redis/redis.conf

usermod -aG redis www-data

cp /etc/sysctl.conf /etc/sysctl.conf.bak

sed -i '$avm.overcommit_memory = 1' /etc/sysctl.conf
Starten Sie den gesamten Server neu
reboot now
Gratulation, Redis ist jetzt Installiert und eingerichtet.

Wenn alles geklappt hat ist Ihre Dolibarr Installation jetzt im Internett mit einem SSL-Zertifikat verschlüsselt und kann mit
https://ihre.domain.de
aufgerufen werden

Bitte nehmen Sie sich etwas Zeit und überprüfen den Sicherheitsstatus Ihres Servers.

Ziel sollte zudem sein, mindestens das nachfolgend dargestellte „A+“-Ergebnis in den Tests zu erzielen

https://www.ssllabs.com/ssltest/index.html

https://observatory.mozilla.org/

Viel Spaß und erfolg bei der Installation und Nutzung von Dolibarr