Apache on slash-root.fr

Apache2 : Installation serveur web de base + SSL

Tue, 08 Mar 2022 21:13:57 +0100

Contexte

Cet article à pour but de servir de base pour l'installation d'un serveur web sous Apache2 avec un certificat SSL.

Let's Encrypt est utilisé et la résolution du challenge se fera sur le port 666 (donc sans interruption de service).

Réalisé sous Debian 11

Installation Apache2

Installation du serveur web apache2 :

sudo apt install apache2

Modification du fichier /etc/apache2/apache2.conf comme suit :

# Les variables d'environnement sont définies dans /etc/apache2/envvars
DefaultRuntimeDir ${APACHE_RUN_DIR}
PidFile ${APACHE_PID_FILE}
Timeout 300
KeepAlive On
MaxKeepAliveRequests 100
KeepAliveTimeout 5

User ${APACHE_RUN_USER}
Group ${APACHE_RUN_GROUP}

HostnameLookups Off

ErrorLog ${APACHE_LOG_DIR}/error.log

LogLevel warn

IncludeOptional mods-enabled/*.load
IncludeOptional mods-enabled/*.conf

Include ports.conf

<Directory />
# Pas de suivi des liens symboliques
 Options -FollowSymLinks
 AllowOverride None
 Require all denied
</Directory>

<Directory /usr/share>
 AllowOverride None
 Require all granted
</Directory>

<Directory /var/www/>
# Pas de listage des fichiers du site mais ok pour le suivi des liens symboliques
 Options -Indexes +FollowSymLinks
 AllowOverride None
 Require all granted
</Directory>

AccessFileName .htaccess

<FilesMatch "^\.ht">
 Require all denied
</FilesMatch>

LogFormat "%v:%p %h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" vhost_combined
LogFormat "%h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\"" combined
LogFormat "%h %l %u %t \"%r\" %>s %O" common
LogFormat "%{Referer}i -> %U" referer
LogFormat "%{User-agent}i" agent

IncludeOptional conf-enabled/*.conf
IncludeOptional sites-enabled/*.conf

Modification du fichier /etc/apache2/ports.conf comme suit :

# Ecoute sur le port 80 et 443
Listen 80
Listen 443

Modification du fichier /etc/apache2/conf-available/security.conf comme suit :

# Definit les informations du serveur retourné par l'en-tête HTTP
ServerTokens Prod
# Serveur version et nom du vhost désactivés
ServerSignature Off
TraceEnable Off

Activation des modules de bases :

sudo a2enmod rewrite actions headers expires ssl

Activation du site par défaut en SSL :

sudo a2ensite default-ssl

Redémarrage du serveur web apache2 :

sudo systemctl restart apache2

A ce stade, le serveur web doit être accessible : http://ip_srv_web/ et https://ip_srv_web/ (erreur de certificat)

Une fois cette vérification faites, désactivation des sites par défaut :

sudo a2dissite 000-default default-ssl

Puis rechargement de la configuration du serveur web :

sudo systemctl reload apache2

Certificat SSL

Installation de Let's Encrypt :

sudo apt install letsencrypt

Modification du fichier /etc/apache2/mods-available/proxy.conf comme suit :

# Permet d'effectuer les challenges acme sur le port 666
<IfModule mod_proxy.c>
 ProxyPass "/.well-known/acme-challenge/" "http://127.0.0.1:666/.well-known/acme-challenge/" retry=1
 ProxyPassReverse "/.well-known/acme-challenge/" "http://127.0.0.1:666/.well-known/acme-challenge/"
 <Location "/.well-known/acme-challenge/">
 ProxyPreserveHost On
 Order allow,deny
 Allow from all
 Require all granted
 </Location>
 </IfModule>

Activation des modules nécessaires :

sudo a2enmod proxy proxy_http ssl

Redémarrer le serveur web apache2 :

sudo systemctl restart apache2

Edition de la crontab pour le renouvellement automatique du certificat :

sudo crontab -e

Indiquer un renouvellement tous les dimanche à 5h00 du matin :

# Autorenew let's encrypt cert
00 05 * * 0 letsencrypt renew --standalone --preferred-challenges http-01 --http-01-port 666

Générer le certificat :

sudo letsencrypt certonly -d "monsite.example.org" --standalone --preferred-challenges http-01 --http-01-port 666 -m monadresse@email.org --agree-tos -n

Au préalable, un enregistrement DNS correspondant à mon site.example.org a été fait dans la zone DNS example.org.

Configuration vhost

Création du fichier /etc/apache2/sites-available/monsite.example.org.conf :

# Example pour le site : monsite.example.org
# DirectoryRoot : /var/www/monsite.example.org/www/
# Les logs seront dans /var/log/apache2/
<VirtualHost *:80>
 ServerName monsite.example.org
 Redirect Permanent / https://monsite.example.org/
</VirtualHost>
<VirtualHost *:443>
 ServerName monsite.example.org

 LogLevel warn 
 ErrorLog "|/usr/bin/rotatelogs -lc /var/log/apache2/error.monsite.example.org.%Y.%m.%d 86400"
 CustomLog "|/usr/bin/rotatelogs -lc /var/log/apache2/access.monsite.example.org.%Y.%m.%d 86400" combined

 SSLEngine on
 SSLCertificateFile /etc/letsencrypt/live/monsite.example.org/cert.pem
 SSLCertificateKeyFile /etc/letsencrypt/live/monsite.example.org/privkey.pem
 SSLCertificateChainFile /etc/letsencrypt/live/monsite.example.org/chain.pem

 DocumentRoot /var/www/monsite.example.org/www
 <Directory /var/www/monsite.example.org/www/>

 Require all granted 

 AllowOverride All
 DirectoryIndex index.html

 </Directory>
</VirtualHost>
SSLProtocol -all +TLSv1.2
SSLCipherSuite +HIGH:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-CHACHA20-POLY1305-D:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305-D:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:DHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305-D:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-CAMELLIA256-SHA:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA
SSLHonorCipherOrder on
SSLCompression off
SSLSessionTickets off

Création de l'arborescence du site :

sudo mkdir -p /var/www/monsite.example.org/www/

Déplacer le fichier index.html de base à des fins de test :

sudo mv /var/www/html/index.html /var/www/monsite.example.org/www/

Attribuer les droits pour www-data :

sudo chown -R www-data:www-data /var/www/

Activation du site monsite.example.org :

sudo a2ensite monsite.example.org

Recharger le serveur web apache2 :

sudo systemctl reload apache2

Vérification

Si tout c'est bien passé, le site monsite.example.org doit être accessible à l'adresse https://monsite.example.org sans erreur de certificat.

L'URL http://monsite.example.org doit rediriger vers https://monsite.example.org

Pour tester le renouvellement du certificat SSL sur le port 666 :

sudo letsencrypt renew --standalone --preferred-challenges http-01 --http-01-port 666 --dry-run

Sujet non abordé

Les règles de pare-feu

OpenProject : Installation

Wed, 20 Oct 2021 14:55:58 +0200

Contexte

OpenProject sera installé sur Debian 10.
La base de données recommandée est PostgreSQL.
Le serveur web recommandé est Apache.

Installation

Installer gnupg2 :
```
sudo apt install gnupg2
```

Importer la clef PGP utilisées pour signer les paquets openproject :

wget -qO- https://dl.packager.io/srv/opf/openproject/key | sudo apt-key add -

Ajouter le repo adéquat :

sudo wget -O /etc/apt/sources.list.d/openproject.list \
https://dl.packager.io/srv/opf/openproject/stable/11/installer/debian/10.repo

Télécharger et installer openproject :

sudo apt-get update
sudo apt-get install openproject

Configuration

Pré-requis

Si une base de données PostgreSQL externe veut être utilisée en lieu et place d'une base de données locale, s'assurer d'avoir les informations suivantes :
- database hostname
- port
- username
- password

L'utilisateur utilisé pour la connexion à la base de données doit avoir le privilège CREATE DATABASE.

Si le HTTPS est utilisé, prévoir le chemin d'accès vers le :
- certificate file
- private key file
- CA bundle file

Lancer le wizard

Exécuter le wizard :
```
sudo openproject configure
```

Si une erreur se produit et/ou une reconfiguration est nécessaire, annuler le wizard avec CTRL+C et relancer le wizard avec sudo openproject reconfigure.

Les choix fait durant le wizard sont persistent dans le fichier /etc/openproject/installer.datet l'exécution de sudo openproject configureréutilise ces valeurs. Seul les options non présentes dans le fichier installer.datseront alors demandées.

Pour relancer la demande de tous les paramètres : sudo openproject reconfigure.

Choisir l’édition

OpenProject est fournit avec 2 éditions :
- L'édition par défaut : Pour une gestion de projet générale.
- L'édition BIM : Pour une gestion de projet axée dans l'industrie du bâtiment/construction.
Plus d'information sur la BIM Edition ici.
La slection de l'édition est uniquement disponible sur les distributions suivantes :
- RHEL/CentOS 8
- Ubuntu 20.04
- Ubuntu 18.04
- Debian 10
- Debian 11

Configuration base de données

OpenProject requiert une base de données PostgreSQL pour stocker les données.
Cette étape va permettre de sélectionner la méthode de connexion à cette base de données.
3 options :
- Skip : Pas de connexion à une base de données. Il sera nécessaire de spécifier une base de données manuellement à l'aide de la variable DATABASE_URL :
```
sudo openproject config:set DATABASE_URL="postgresql://[user[:password]@][host][:port][/dbname][?param1=value1&...]"
```
- Install : Le wizard installe et configure une base de données PostgreSQL locale. C'est cette option qui sera retenu dans cette documentation.
- Reuse : Pour utiliser une base de données PostgreSQL existante. Des paramètres de connexion supplémentaire sont demandés lors de ce choix.

Apache2

OpenProject comprend un serveur d'application en ruby interne. Seulement le serveur écoute uniquement sur une interface locale.
Pour pouvoir y accéder d'Internet, il est nécessaire d'avoir un serveur web comme proxy transférer les connexions entrantes vers le serveur applicatif OpenProject.
Le wizard propose d'installer automatiquement un serveur web Apache2 pour agir comme un proxy.
2 options :
- Install : Option recommandée. Installe et configure un serveur web Apache2 avec un virtual host du nom de domaine fournit. C'est ce serveur qui fournira du SSL/TLS. Plusieurs options sont demandées par la suite.
- Le nom de domaine pleinement qualifié. Correspond à la valeur ServerNamedu virtual host d'apache.
- Pour spécifier un prefix afin d'accéder à l'applicatif (exemple : mondomaine.example.com/openproject) : /openproject. Laisser vide si l'accès désiré à l'application est http(s)://mondomaine.example.com.
- Pour utiliser des certificats SSL/TLS, 3 choix supplémentaires sont à faire pour spécifier l'accès aux certificats.
- Skip : Non recommandé. Un serveur web Apache ou Nginx doit être installé et configuré manuellement pour rediriger les requêtes entrantes vers localhost:6000.
Attention avec un serveur Nginx, toutes les fonctionnalités ne sont pas disponible pour OpenProject.

SVN/Git intégration

Si le choix d'installer automatiquement Apache2 est fait, il est demandé si une intégration de SVN/Git doit être faites.
Plus d'informations ici

Configuration email

Configurer la méthode d'envoie de mail pour les diverses notifications.
3 options :
- Sendmail : Utilisation d'une installation de sendmail en locale ou d'un serveur postfix local.
- SMTP : Option recommandée en production. Autorise la connexion à un serveur SMTP à travers une authentification de type : NONE, PLAIN, LOGIN, CRAM-MD5.
- Skip : Aucune configuration. Néanmoins, la configuration peut se faire plus tard en se rendant sur l'URL : openproject.example.com/settings?tab=notifications.

Serveur Memcached

OpenProject a besoin d'un serveur local memcached. L'installation de celui-ci doit "toujours" être faites.

Accès OpenProject

L'installation est terminée.
L'application OpenProject est disponible à l'adresse : http(s)://openproject.example.com/server prefix.
Username = admin
Password = admin
Changer le mot de passe admin immédiatement

Mise à jour PostgreSQL

La version actuelle d'OpenProject est la 11.4.0.
La prochaine version majeure sera la 12.0 (fin 2021).
PostgreSQL v13 sera nécessaire.

Installer la nouvelle version de PostgreSQL :

sudo apt-get update
sudo apt-get install postgresql-13

Arrêter les serveurs PostgreSQL :

sudo su - postgres -c "/usr/lib/postgresql/10/bin/pg_ctl stop --wait --pgdata=/var/lib/postgresql/10/main"
sudo su - postgres -c "/usr/lib/postgresql/13/bin/pg_ctl stop --wait --pgdata=/var/lib/postgresql/13/main"

Migrer les données vers PostgreSQL v13 :

sudo su - postgres << CMD
/usr/lib/postgresql/13/bin/pg_upgrade \
--old-bindir=/usr/lib/postgresql/10/bin \
--new-bindir=/usr/lib/postgresql/13/bin \
--old-datadir=/var/lib/postgresql/10/main \
--new-datadir=/var/lib/postgresql/13/main \
--old-options '-c config_file=/etc/postgresql/10/main/postgresql.conf' \
--new-options '-c config_file=/etc/postgresql/13/main/postgresql.conf'
CMD

Faire de PostgreSQL v13 le serveur par défaut sur le port 45432 :

sudo su - postgres -c "cp /etc/postgresql/{10,13}/main/conf.d/custom.conf"
sudo su - postgres -c "sed -i 's|45432|45433|' /etc/postgresql/10/main/conf.d/custom.conf"
sudo su - postgres -c "/usr/lib/postgresql/13/bin/pg_ctl start --wait --pgdata=/var/lib/postgresql/13/main -o '-c config_file=/etc/postgresql/13/main/postgresql.conf'"

Vérifier dans OpenProject la version de PostgreSQL.

Supprimer l'ancienne version de PostgreSQL :

sudo rm -rf /var/lib/postgresql/10/main
sudo apt-get purge postgresql-10

Redmine : Installation

Mon, 18 Oct 2021 12:24:49 +0200

Préambule

Redmine peut être installé sur la plupart des systèmes Unix, Linux, macOS, Windows
La base de données qu'utilise Redmine peut être MySQL (MariaDB), PostgreSQL, Microsoft SQL, SQLite
Debian 10 sera choisit pour cette installation avec une base de données MySQL (MariaDB)

Installation Apache et paquets nécessaires

Installation dépendances nécessaires :

sudo apt install apt-transport-https ca-certificates dirmngr gnupg2

Installation Apache, MariaDB, Passenger et les autres paquets nécessaires :

sudo apt install apache2 apache2-dev libapache2-mod-passenger mariadb-server mariadb-client build-essential ruby-dev libxslt1-dev libmariadb-dev libxml2-dev zlib1g-dev imagemagick libmagickwand-dev curl

Une fois tous ces paquets et dépendances installés, créer la base de données pour Redmine

Création de la base de données

Sécurisation de la base de données :
```
sudo mysql_secure_installation
```

Suivre les recommandations de sécurisation

Se connecter en root puis à MariaDB :
```
su -
mysql
```

Création d'une base de données "redminedb" et d'un utilisateur mysql "redmineuser" :

CREATE DATABASE redminedb CHARACTER SET utf8mb4;
GRANT ALL PRIVILEGES ON redminedb.* TO 'redmineuser'@'localhost' IDENTIFIED BY 'my_secure_password';

Flush les privilèges et quitter MariaDB :
```
FLUSH PRIVILEGES;
EXIT;
```
Se déconnecter de l'utilisateur root :
```
exit
```

Installation et configuration Redmine

Création d'un utilisateur linux "redmine" pour Redmine :

sudo useradd -r -m -d /opt/redmine -s /usr/bin/bash redmine

Ajout de l'utilisateur redmine au groupe "www-data" :
```
sudo usermod -aG redmine www-data
```
Se connecter avec l'utilisateur redmine et télécharger la dernière version de Redmine :
```
su - redmine
wget https://www.redmine.org/releases/redmine-4.2.3.tar.gz
```

Extraire l'archive téléchargée :

tar -xvzf redmine-4.2.3.tar.gz -C /opt/redmine/ --strip-components=1

Copie des fichiers de configurations exemples :

cp /opt/redmine/config/configuration.yml{.example,}
cp /opt/redmine/public/dispatch.fcgi{.example,}
cp /opt/redmine/config/database.yml{.example,}

Editer le fichier database.yml et y définir les paramètres de la base de données :
```
vi /opt/redmine/config/database.yml
```

Faire les modifications suivantes :

production:
adapter: mysql2
database: redminedb
host: localhost
username: redmineuser
password: "my_secure_password"

Sauvegarder le fichier et quitter l'utilisateur redmine :
```
exit
```
Se rendre dans le répertoire "/opt/redmine" et installer "Bundler" :
```
cd /opt/redmine
sudo gem install bundler
```
Se connecter avec l'utilisateur redmine et installer les dépendances gems nécessaires :
```
su - redmine
bundle install --without development test --path vendor/bundle
```
Générer un token secret :
```
bundle exec rake generate_secret_token
```

Créer une structure de base de données Rails et insérer les données de configuration par défaut dans la bdd :

RAILS_ENV=production bundle exec rake db:migrate
RAILS_ENV=production REDMINE_LANG=en bundle exec rake redmine:load_default_data

Créer les répertoires et fichiers nécessaires :

for i in tmp tmp/pdf public/plugin_assets; do [ -d $i ] || mkdir -p $i; done

Définir les permission sur le dossier /opt/redmine :

chown -R redmine:redmine files log tmp public/plugin_assets
chmod -R 755 /opt/redmine

Se déconnecter de l'utilisateur Redmine :
```
exit
```

Configuration Apache

Désactiver le site par défaut :
```
sudo a2dissite 000-default.conf
```

Créer un virtual host pour Redmine :

sudo vi /etc/apache2/sites-available/redmine.conf

Ajout des lignes suivantes :

< VirtualHost *:80>
ServerName redmine.example.com
RailsEnv production
DocumentRoot /opt/redmine/public

< Directory "/opt/redmine/public">
 Allow from all
 Require all granted
< /Directory>

ErrorLog ${APACHE_LOG_DIR}/redmine_error.log
CustomLog ${APACHE_LOG_DIR}/redmine_access.log combined
< /VirtualHost>

Attention ! Enlever l'espace après le 1er chevron.

Sauvegarder le fichier, activer le virtual host redmine et redémarrer le service apache :
```
sudo a2ensite redmine
sudo systemctl restart apache2
```

Accès Redmine

Ouvrir un navigateur web et se rendre sur http://redmine.example.com
Cliquer sur "Connexion"
Renseigner le compte admin et le mot de passe par défaut : admin/admin. Un nouveau mot de passe est demandé
L'installation de Redmine est terminée