VPS

Предпосылкой написания этой статьи стало то, что некоторое время назад я начал серию публикация на Pikabu посвящённую тематике умного дома. Со временем некоторые статьи стали содержать код (команды Linux, YML-файлы…), который в публикациях не имеет нужной разметки и особенно важной в yaml-файлах — табуляции. Поэтому решил себе завести блог для таких публикаций - HUNY Blog. Ну, а в этой статье поделюсь, как это можно сделать легко и непринуждённо на своём примере. )))

Почему я просто не завёл блог на WordPress.com, а решил установить WordPress на Ubuntu на своём бесплатном сервере:

- нельзя использовать свои темы (шаблоны) для сайтов без тарифа Bussines (1 499 рублей в месяц);

- дизайн бесплатных шаблонов сильно ограничен, а в Personal и Premium (250 и 550 рублей в месяц) очень убогие шаблоны, без возможности гибкой настройки;

- в бесплатной версии не нашёл возможность использовать сервисы аналитики Гугл и Яндекс, а так же инструменты SEO;

- плагины (даже простые) в бесплатной версии не подключить;

Перечислять можно и дальше, но суть проста — практически за каждую простую услугу там нужно платить.

Традиционно для самостоятельной установки WordPress (и развёртывания других веб-приложений и динамических сайтов) используются популярные наборы компонентов LAMP (Linux, Apache HTTP Server, MySQL, PHP) и его вариация LEMP. (в которой веб-сервер Apache заменяется на Nginx). В LEMP Apache заменяется легким, но мощным Nginx, который может обеспечить более предсказуемую производительность при высоких нагрузках. Но я выбрал альтернативный и по моему мнению наиболее простой способ установки, немного отличающийся от традиционных — установка WordPress с помощью Docker Compose и LinuxServer SWAG.

SWAG — Secure Web Application Gateway (ранее известный как letsencrypt, не имеющий отношения к Let’s Encrypt ™) настраивает веб-сервер Nginx и обратный прокси-сервер с поддержкой php и встроенным клиентом certbot, который автоматизирует процессы генерации и обновления бесплатных сертификатов SSL-сервера (Let’s Encrypt и ZeroSSL). Он также содержит fail2ban для предотвращения вторжений.

Преимущества данного способа для меня были очевидны и состоят из нескольких ключевых пунктов:

- Простота. Фактически мы разворачиваем готовый контейнер «в пару кликов» и сайт на WordPress у нас готов,. Перед этим буквально небольшая подготовка системы Lunux (Ubuntu) в плане установки Docker, Docker Compose и Portainer

- Установка WordPress на Ubuntu с HTTPS. Здесь у нас готовый автоматический процесс генерации и обновления бесплатных сертификатов SSL-сервера.

- Бесплатный бэкап WordPress. Можно использовать для этого плагины WordPress, но в Jetpack от WordPress — эта функция платная. «UpdraftPlus — Backup/Restore» в бесплатной версии позволяет делать это только вручную. Есть ещё много разных плагинов для бэкапа, например BackupBuddy…, но я в дальнейшем автоматизирую этот процесс средствами Linux, docker — rsync и/или rclone.

- Возможна установка двух, трёх…. WordPress сайтов в один контейнер на одном сервере.

Итак, у вас должна быть предварительно подготовлено:

- Установлена операционная система Linux (Ubuntu, Debian или другая);

- Установлен Docker, Docker Compose и Portainer;

- Опционально есть доменное имя для вашего блога. Если ещё нет, то в качестве альтернативы для теста можете бесплатно создать домен на duckdns.org. Нам это нужно будет для того, что бы входить на сайт не по IP адресу, и получить сертификат для HTTPS.

В дальнейшем вы сможете зарегистрировать и привязать свой полноценный домен второго уровня для своего сайта или блога в сервисе регистрации доменов, например у российского регистратора доменных имен — REG.RU (Мой промо-код ECA7-B285-57FC-20C2 даст скидку 5% на заказ домена). :-)

Далее будем использовать docker-compose для создания и запуска своих образов и контейнеров, а именно LinuxServer / SWAG и WordPress. Вот содержание docker-compose.yml для этого:

version: '3.3'
services:
swag:
image: linuxserver/swag
container_name: swag
cap_add:
- NET_ADMIN
environment:
- PUID=1000
- PGID=1000
- TZ=Europe/Samara
- URL=ВашДомен.duckdns.org # change for your domain
- VALIDATION=http
- EMAIL=mail@mail.ru # optional
- EXTRA_DOMAINS=ВашДомен.duckdns.org # change for your domain
volumes:
- ./config:/config
ports:
- 443:443
- 80:80
restart: unless-stopped
db_pikabu: # change name for every new site wordpress
image: mysql:5.7
container_name: db_pikabu # change name for every new site wordpress
restart: always
ports:
- 3315:3306 # change port for every new site wordpress
volumes:
- ./config/www/pikabu/mysql:/var/lib/mysql # change directory for every new site wordpress
environment:
MYSQL_DATABASE: wordpress
MYSQL_ROOT_PASSWORD: Pikabu1234 # change this password for you
wordpress_pikabu: # change name for every new site wordpress
image: wordpress:latest
container_name: wordpress_pikabu # change name for every new site wordpress
restart: always
ports:
- 7000:80 # change port for every new site wordpress
volumes:
- ./config/www/pikabu/config/php.conf.uploads.ini:/usr/local/etc/php/conf.d/uploads.ini # change directory for every new site wordpress
- ./config/www/pikabu/wordpress:/var/www/html # change directory for every new site wordpress
environment:
WORDPRESS_DB_HOST: db_pikabu # change optional
WORDPRESS_DB_NAME: wordpress # change optional
WORDPRESS_DB_USER: root # change optional
WORDPRESS_DB_PASSWORD: Pikabu1234 # change this password for you
depends_on:
- db_pikabu # change name for every new site wordpress

ВАЖНО СОБЛЮДАТЬ ТАБУЛЯЦИЮ (ОТСТУПЫ)!!! При создании docker-compose.yml, но Пикабу не поддерживает «форматирование текста с отступами». Для удобного копирования форматированного текста, когда приступите непосредственно к установке WopdPress можете перейти на эту страницу, где код отформатирован с отступами.

Где стоит хэштег «# change ….» — укажите свои данные !

Итак, создаём файл docker-compose.yml в удобном для вас месте и удобным для вас способом. Я покажу пример для Ubuntu 20.04 на VPS Oracle (конечно же это полная аналогия и для других вариантов).

Создам его по пути /home/ubuntu

# echo "version: '3.3'

services:" >/home/ubuntu/docker-compose.yml

Вы можете командой echo сразу отправить весь текст (содержание файла выше), либо открыть файл командой nano и вставить содержимое:

# sudo nano /home/ubuntu/docker-compose.yml

После этого сохраняем и закрываем файл, нажав CTRL + X, Y, а затем ENTER.

Либо, всё то же самое можно сделать через WinSCP

Для создания и редактирования таких файлов рекомендую использовать Notepad++ вместо «блокнота»:

После создания и сохранения файла, переходим в терминале в папку, где у нас лежит docker-compose.yml командой # cd (в Ubuntu 20.04 на VPS Oracle мы по умолчанию находимся в ней) и запускаем контейнеры:

# docker-compose up -d

Если вы ставили Ubuntu 20.04 на бесплатный VPS сервер от Oracle, то необходимо открыть порт 80 и 443 в Oracle. Как это сделать написано в конце этого поста.

Для «домашней» Ubuntu или Debian на сервере или десктопе тоже нужно открыть порты 80 и 443 для Let’s Encrypt, пробросив их на вашу машину в роутере (см. инструкцию к нему)

После этого проверяем в Portainer, что контейнеры swag, wordpress_pikabu и db_pikabu успешно запустились:

Открываем (для редактирования, удобным вам способом) файл с настройками Nginx — default.

(В папке, где у вас был файл docker-compose.yml — появилась папка config)

В моём примере файл default расположен по пути /home/ubuntu/config/nginx/site-confs

# sudo nano /home/ubuntu/config/nginx/site-confs/default

ALT+T — очищаем всё содержимое файла default, и вставляем следующее:

# redirect all traffic to https
server {
listen 80 default_server;
listen [::]:80 default_server;
return 301 https://$host$request_uri;
}
# main server block for site 1
server {
listen 443 ssl;
#listen [::]:443 ssl;
root /config/www/pikabu/wordpress; # change directory for every new site
index index.html index.htm index.php;
server_name ВашДомен.duckdns.org; # change for your domain
# enable subfolder method reverse proxy confs
include /config/nginx/proxy-confs/*.subfolder.conf;
# all ssl related config moved to ssl.conf
include /config/nginx/ssl.conf;
client_max_body_size 128m; # change opcional, default 0
location / {
try_files $uri $uri/ /index.html /index.php?$args;
}
location ~ \.php$ {
fastcgi_split_path_info ^(.+\.php)(/.+)$;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
include /etc/nginx/fastcgi_params;
}
}

После этого сохраняем и закрываем файл, нажав CTRL + X, Y, а затем ENTER.

Где стоит хэштег «# change ….» — укажите свои данные !

ВашДомен.duckdns.org и директорию /config/www/pikabu/wordpress, где вместо pikabu указываете папку в которой создали wordpress на предыдущем этапе.

Перезапускаем в Portainer контейнер swag

После этого заходим в браузере на свой почти созданный сайт по адресу HTTPS://ВашДомен, где у вас должно появится окно «пятиминутной установки WordPress». Выбираем язык:

Заполняем поля для своего сайта:

Если появится такая ошибка, то просто перезапустите в Portainer контейнеры wordpress и db

У С Ё готово! )))

Входим со своими учётными данными и настаиваем свой сайт на wordpress как вам угодно… А пока на главной странице сайта вас встретит вот такая страничка, с вашим названием сайта конечно же)))

Я же по прежнему буду вести тему «умного дома» в своём профиле на Пикабу, а вот если нужно будет показать какой-либо форматированный код (команды Linux, YML-файлы…), буду публиковать его уже на своём блоге — https://huny.blog )))

Всем пока и Бобра ;-)

Опасно это в первую очередь для тех у кого не самые мощные сервера и нет защиты от DDoS атак. Рекомендую установить патч либо использовать SFTP чтобы не спалить данные о домене. Если ваш IP таки был связан доменом (раскрыт), вам стоит обратиться к провайдеру для его смены, т.к он является скомпрометированным, исправить сие невозможно.

Если вы используете услуги аренды VDS серверов, крайне не рекомендую вообще указывать реальный домен при начале аренды (актуально как минимум для firstvds).

Если вы используете на своём сервере Apache2 -- настоятельно рекомендую озаботиться об установке на него патчей если таковые имеются (а у апача их достаточно, в зависимости от версии), либо же установить nginx и работать с ним.

Также крайне не рекомендую при наличии домена, разрешать доступ к серверу через IP.
Для себя я решил проблему с доступом через добавление в конфигурацию nginx'а следующих строк:

if ($host !~* example\.com) { # проверяет $host на наличие в нём вашего домена

return 444; # вернёт пустой ответ.

}

# эта конфигурация будет работать и с поддоменами.

Для своих сайтов я использую Cloudflare который прекрасно справляется с экранированием запросов и инициатор запросов никогда не получит ваш реальный IP адрес.

Если вы используете свои сертификаты но используете и Cloudflare -- стоит изменить этот сертификат на Origin сертификат от Cloudflare. Зачем? Для того чтобы при обращении через IP на 443-й порт (если таковой активен, при наличии сертификата) -- не сообщить злоумышленникам домен. Чем бережнее вы относитесь к секретности IP, тем меньше будет вероятность DDoS атаки, поскольку например Cloudflare -- успешно их отражает (в большинстве случаев).

Не стоит думать что если между IP адресом вашего сервера и доменом была установлена связь, вас никогда не затронет проблема безопасности. У каждого разные причины для тех или иных поступков, будь то просто зависть или попытка устранить конкурента. Будьте бдительней, господа!

В заключении хочу отметить что Shodan при всей своей "опасности", в правильных руках -- золото. Shodan (и ему подобные) изучает полученную информацию о вашем сервере и исходя из версий может сообщать о тех или иных эксплоитах (они не всегда обязаны присутствовать).
Желаю вам успехов во всех ваших проектах и  начинаниях, друзья!

Ну а я после этого поста готовлюсь огребать минусы от "знатоков". Тем не менее, я сообщил о том о чём знал и теперь моя совесть чиста, надеюсь кому-нибудь да поможет.

Мнений о необходимом объёме раздела  swap множество ))) Мы, в рамках этой статьи, будем придерживаться того, что этот объем должен быть равен или быть в два раза больше объема оперативной памяти вашей системы. Т.е. в нашем случае это будет объём 2 Гб. (Из практики известно, что иметь swap более 4 Гб зачастую бессмысленно).

Разместим файл нужного размера swapfile в директории root (/) с помощью программы fallocate:

$ sudo fallocate -l 2G /swapfile

Проверим, что сработало:

$  ls -lh /swapfile

Делаем файл подкачки доступным только для root:

$ sudo chmod 600 /swapfile

Проверим, что сработало:

$ ls -lh /swapfile

Говорим системе, что этот раздел у нас для файла подкачки:

$ sudo mkswap /swapfile

Включаем его:

$ sudo swapon /swapfile

Проверим, что всё ok:

$ sudo swapon --show

$ free -h

Следующие две команды позволят использовать файл подкачки не только для текущего сеанса, но и после перезагрузки системы.

Сделаем резервную копию конфигурационного файла fstab:

$ sudo cp /etc/fstab /etc/fstab.bak

Добавим в него информацию о файле подкачки:

$ echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

Вот в принципе и В С Ё . . . )))

Ну можно ещё настроить swap, что бы ядро по возможности избегало использование файла подкачки.

Swappiness - это свойство ядра Linux, которое определяет, как часто система будет использовать пространство подкачки. Подкачка может иметь значение от 0 до 100.

Проверим текущее значение:

$ cat /proc/sys/vm/swappiness

60 - считается нормой для настольного ПК, но для сервера желательно это значение свести к минимуму, например - 10:

$ sudo sysctl vm.swappiness=10

Сохраним это значение и после перезапуска системы, для этого открываем файл /etc/sysctl.conf:

$ sudo nano /etc/sysctl.conf

Добавляем в конец эту строчку:

$ vm.swappiness = 10

Сохраняем и закрываем файл, нажав CTRL + X, Y, а затем ENTER.

Ну, а если по какой-то причине решите удалить файл подкачки, то нужно сделать следующее:

1) Деактивируйте swap:

$ sudo swapoff -v /swapfile

2) Удалите запись файла подкачки  из /etc/fstab файла:

$ sudo nano /etc/fstab

Сохраняем и закрываем файл, нажав CTRL + X, Y, а затем ENTER.

3) Удалите сам файл подкачки с помощью rmкоманды:

$ sudo rm /swapfile

На этом у меня В С Ё !!! )))

Если по какой-то причине не удобно копировать команды для терминала из этого поста, то можете взять их с моего файла README.md, который лежит на GitHub - здесь.

Всем пока и "Бобра" ;-)

Предпосылки к созданию своего личного MQTT брокера у меня появились после того, как узнал, что скоро сервер брокера (располагающийся ранее по адресу mqtt.wifi-iot.com) которым я пользовался на сайте конструктора прошивок wifi-iot.com выключат (уже):

Бесплатный сервер VPS для установки Linux для нашего MQTT брокера мы уже нашли здесь, и установили на него Ubuntu 20.04 здесь. (далее подразумевается, что всё это или аналоги у вас уже есть).

Ещё одно примечание, MQTT брокер можно поставить и на домашний - локальный сервер (зачастую это проще и логичнее), даже на край на туже самую ESP, здесь рассматривается пример именно для случаев, когда нужен внешний брокер, но способ конечно подходит и для локальной установки.

Итак, приступаем к установке.

Подключаемся через PuTTy по SSH к своему серверу

(Как? По этой ссылке в конце поста мы это уже делали.)

Подготовим систему.

1) Для получения списка и обновления новых пактов, выполните:

sudo apt-get update && apt-get upgrade -y

2) Устанавливаем  MQTT брокер Mosquitto:

sudo apt install mosquitto mosquitto-clients -y

3) Сразу настроим для  Mosquitto подписку по логину и паролю (пример логина - pikabu):

sudo mosquitto_passwd -c /etc/mosquitto/passwd pikabu

4) Далее, по запросу, нужно ввести два раза ваш пароль для Mosquitto:

Связка логин-пароль будет храниться по следующему пути /etc/mosquitto/passwd

5) Запретим анонимные подключения к Mosquitto. Открываем файл default.conf:

sudo nano /etc/mosquitto/conf.d/default.conf

6) Он должен быть пустой, вставляем туда этот текст:

allow_anonymous false

password_file /etc/mosquitto/passwd

Сохраняем и закрываем файл, нажав CTRL + X, Y, а затем ENTER.

7) Перезагружаем Mosquitto чтобы применить изменения:

sudo systemctl restart mosquitto

Проверим работоспособность брокера.

Войдите на свой сервер через PuTTy ещё раз (откройте второе окно терминала рядом) и введите в него следующую команду (подписка на брокера) со своим логином и паролем:

mosquitto_sub -h localhost -t test -u "pikabu" -P "ваш_пароль"

а в первом открытом окне отправляем топик введя команду вида:

mosquitto_pub -h localhost -t "test" -m "Privet Pikabu" -u "pikabu" -P "ваш_пароль"

Во втором окне терминала у вас должно появиться ваше сообщение (в примере "Privet Pikabu"):

На этом этапе  MQTT брокер Mosquitto  у нас успешно запущен и защищён паролем.

Ниже пару нюансов для нашей VPS от Oracle:

Настроим брандмауэр IPTABLES (для нашей виртуальной машины на сервере Oracle).
Команды вводим от своего пользователя!
sudo iptables --policy INPUT ACCEPT
sudo iptables -F
sudo iptables -A INPUT -p tcp --dport 1883 -m state --state NEW -j ACCEPT
sudo netfilter-persistent save
sudo ufw disable

Откройте  порт 1883 на VPS от Oracle. Для этого открываем ссылку в письме, которая пришла после регистрации в Oracle, вводим логин и пароль и попадаем в свою учетку, где следуем по пути:Сети - Виртуальные облачные сети - vcn- (ВАШ) - Сведения о списках безопасности

Альтернативный способ попасть туда из главного окна: "Настроить сеть с помощью мастера", "Запуск мастера VNC" нужно нажать "отмена", кликаем на свой "VNC-номер", далее в "ресурсах" нажимаем на "Списки безопасности" и кликаем на "Default Security List for vcn-номер"

где добавляем правила для входящего трафика:

Почти В С Ё!!! ;-) ***

*** Настоятельно рекомендую настроить и включить шифрование SSL, например через сертификаты Let Encrypt, ибо если оставить так, то данные через интернет будут передаваться в не зашифрованном виде. В рамках этого поста этой инструкции не будет, только ключевые фразы в предыдущем предложении для поиска информации в интернете .

В заключении несколько примеров применения MQTT брокера Mosquitto:

Для пользователей сервиса wifi-iot.com, у которых в прошивке включен сервис "MQTT клиент" ("ESP" - "Сервисы" - "MQTT клиент") и недавно "всё поломалось" уже можно ввести новые данные только что настроенного вами личного MQTT брокера Mosquitto и радоваться жизни. ;-)

Пример настройки, подробнее здесь:

Для проверки работоспособности брокера можно скачать MQTT Explorer для своей операционной системы.

Вводим данные своего  MQTT брокера Mosquitto:

И наблюдаем свои топики (или управляем своим устройством, если настроено).

Ниже мой наглядный пример, который только-что создал.

"ESP-OFICE" это топик ESP8266 c прошивкой на базе конструктора  WiFi-IoT, у которой на борту датчик углекислого газа - CO2 (MH-Z19B), датчик температуры давления и влажности BME280 и уличный датчик температуры DS18B20. Моё видео о нём можно посмотреть здесь.

"homeassistant" через плагин, который  показывает статус "online" тестовой системы Home Assistant установленной на этом же сервере.

"broker" - это непосредственно сам MQTT брокера Mosquitto, где мы видим, опубликованное ранее в этом посте, сообщение через терминал "Privet Pikabu" )))

На этом пока пожалуй всё по этой теме ;-)

Всем пока и "бобра"! ;-)

Вообще рекомендую почитать первоисточник по различным способам установки, их отличиям и требованиям к пользователь. Эта статья лишь небольшое дополнение с несколькими нюансами по установки системы конкретно на Ubuntu 20.04, причём рассматриваем частный случай установки на  VPS сервере от Oracle, хотя способ подходит и для обычной Ubuntu 20.04.

Итак, к делу.

Подключаемся через PuTTy по SSH к своему серверу

(Как? По этой ссылке в конце поста мы это уже делали.)

Подготовим систему.

1) Для получения списка новых пактов, выполните:

sudo apt-get update

2) Для выполнения обновления пакетов, выполните:

sudo apt-get upgrade -y

3) Удаляем возможно оставшиеся зависимости пакетов:

sudo apt autoremove -y

4) Устанавливаем необходимые нам пакеты:

sudo apt-get install -y software-properties-common apparmor-utils apt-transport-https avahi-daemon ca-certificates curl dbus jq network-manager socat

5)Деактивируем и отключаем ModemManager:

sudo systemctl disable ModemManager

sudo systemctl stop ModemManager

6) На всякий случай перезагружаем систему

reboot

7) Устанавливаем Docker:

curl -fsSL get.docker.com | sudo sh

8) Загружаем скрипт  "supervised-installer":

curl -Lo installer.sh https://raw.githubusercontent.com/home-assistant/supervised-...

9) И запускаем установку  одним из способов:

- установщик сам выбирает директории (папки установки):

sudo bash installer.sh

- мы выбираем директории (папки установки - нужно сначала создать)***:

sudo bash installer.sh -p /home -d $PREFIX/hassio (это пример, подробнее на фото)

*** для примера выше
sudo mkdir -p /home
sudo mkdir -p /home/sbin
sudo mkdir -p /home/bin

Через несколько минут Home Assistant Supervised будет доступен по адресу ipaddress:8123 (ip-address вашей виртуальной машины) в браузере, где должна открыться такая страничка. Вводим свои данные (регистрируемся) и настраиваем/тестируем систему....

Если спустя 5-10 минут после установки у Вас не по прежнему не открывается стартовая страница homeassistant, то убедитесь, что открыт порт 8123 на VPS от Oracle (если не сделали этого ранее). Для этого открываем ссылку в письме, которая пришла после регистрации в Oracle, вводим логин и пароль и попадаем в свою учетку, где следуем по пути:Сети - Виртуальные облачные сети - vcn- (ВАШ) - Сведения о списках безопасности

Альтернативный способ попасть туда из главного окна: "Настроить сеть с помощью мастера", "Запуск мастера VNC" нужно нажать "отмена", кликаем на свой "VNC-номер", далее в "ресурсах" нажимаем на "Списки безопасности" и кликаем на "Default Security List for vcn-номер"

где добавляем правила для входящего трафика:

В С Ё!!! Готово! Тестируйте на здоровье ;-)

UPD: Если у Вас на странице "Supervisor" - "System" систем такая ошибка, как на фото  ниже и Вы не можете устанавливать приложения из "Add-on Store"

введите в терминале команду:

sudo docker restart hassio_supervisor

После этого подождите пару минут и эта ошибка исчезнет и вы сможете устанавливать приложения ;-)

Ну, а на оставшуюся "красную надпись" просто не обращаем внимание, ибо..

На этой прозаической ноте у меня всё. Спасибо за внимание!

Всем пока и  "бобра"! ;-)