Asetame veebisaidi kodu ruuteri peale

Mul on juba ammu olnud soov "kätte võtta" internetiteenused, seadistades veebiserveri nullist ja viies selle Internetti. Selles artiklis tahan jagada oma saadud kogemusi koduse ruuteri muutmisest kitsalt funktsionaalsest seadmest praktiliselt täieõiguslikuks serveriks.

Kõik sai alguse sellest, et ustav TP-Link TL-WR1043ND ruuter lõpetas meie koduvõrgu vajaduste rahuldamise, soovisin 5GHz sagedust ja kiiret juurdepääsu ruuteriga ühendatud ketastele. Olles vaadanud spetsiaalseid foorumeid (4pda, ixbt), arvustuste saite ja vaadanud kohalike poodide valikut — otsustasin osta Keenetic Ultra.

Selle seadme kasuks rääkisid head omanike arvustused:

• ülekuumenemise probleemide puudumine (siin pidin loobuma Asusest);
• töös usaldusväärsus (siin jätsin välja TP-Linki);
• seadistamise lihtsus (kartsin, et ei saa hakkama, ja jätsin välja Microtiki).

Pidin leppima miinustega:

• ei ole WiFi6, tahtsin tulevikuks varu;
• 4 LAN-porti, tahtsin rohkem, aga see on juba mitte kodukategooria.

Kokkuvõttes on see selline "serveri" seadistus:

• vasakul on Rostelecomi optiline terminal;
• paremal on meie katse seade;
• ruuteriga on ühendatud juhuslik m.2 SSD mahutavusega 128 GB, mis on paigutatud USB3 karpi Aliexpressilt ja on nüüd korralikult kinnitatud seinale;
• ees olevas plaanis on pikendus, millel on iseseisev väljalülitamine, juhtme sealt jookseb odava UPS-ini;
• tagaplaanil on paar pööratud paari — korteri remondi ajal planeerisin kohe RJ45 pesad seadmete kavandatud paigutuse kohtadesse, et mitte sõltuda WiFi ülerahvastatusest.

Nii et meil on seadmed, nüüd on vaja need seadistada:

• ruuteri esmane seadistamine võtab umbes 2 minutit, määrame pakkuja ühenduse parameetrid (minu optiline terminal on seadistatud sillarežiimi, PPPoE ühendus tõstab ruuteri), WiFi võrgu nime ja parooli — põhimõtteliselt on see kõik, ruuter käivitub ja töötab.

Seame ruuteri väliste portide edastamise oma ruuteri portide suunas jaotises "Võrgureeglid — Edastamine":

Nüüd saab liikuda "täiustatud" osa juurde, mida ma ruuterilt tahtsin:

1. väikese NASi funktsionaalsus koduvõrgus;
2. veebiserveri funktsioonide täitmine mitme isikliku lehe jaoks;
3. isikliku pilve funktsionaalsus, et pääseda ligipääsetud andmetele mis tahes punktist maailmas.

Esimene rakendatakse sisseehitatud vahenditega, ilma eriliste pingutusteta:

• võtame määratud seadme (mälupulk, mäkaart kaardilugejas, väline kõvaketas või SSD) ja vormindame selle Ext4 formaati abil MiniTool Partition Wizard Free Edition (mul ei ole käepärast Linuxiga arvutit, seal saab kasutada sisseehitatud vahendeid). Nagu ma aru saan, kirjutab süsteem töötamise ajal mälupulgale ainult logisid, seega, kui need pärast süsteemi seadistamist piirata — on võimalik kasutada ka mäekaarte, kuid kui kavatsete sageli ja palju andmeid kirjutada - on parem kasutada SSD või HDD.

Pärast seda ühendame seadme ruuteriga ja näeme seda süsteemi monitori ekraanil

Klõpsame "USB-diskid ja printerid" peal, et minna rakenduste sektsiooni ja seadistame ühise ressursi Windowsi võrgu jaotises:

Ja meil on võrguressurss, mida saab Windowsi arvutitest kasutada, kui on vaja ühendada draivina: net use y: \192.168.1.1SSD /persistent:yes

Sellise improviseritud NAS-i kiirus on täiesti piisav koduseks kasutamiseks, läbi kaabli kasutab see kogu gigabitti, WiFi kaudu on kiirus umbes 400-500 megabitti.

Salvestusruumi seadistamine on vajalik samm serveri seadistamiseks, edasi peame me:
— ostma domeeni ja staatilise IP-aadresse (saab ka ilma selleta hakkama, kasutades Dynamic DNS-i, kuid mul oli juba staatiline IP, seega oli lihtsam kasutada Yandexi tasuta teenuseid — , delegeerides domeeni sinna, saame DNS-hostingu ja e-posti oma domeenis);

— seadistama DNS-serverid ja lisama A-kirjed, mis viitavad teie IP-le:

Domeeni delegeerimise ja DNS-i seadistuste kehtima hakkamine võtab paar tundi, seega tegeleme samal ajal ruuteri seadistamisega.

Esmalt peame installima Entware'i hoidla, kust saame ruuterile vajalikke pakette paigaldada. Kasutasin seda õpetust, ainult et ma ei laadinud installipakki FTP kaudu, vaid lõin kausta otse varem ühendatud võrgu kettale ja kopeerisin faili tavalise meetodiga.

SSH kaudu juurde pääsedes muutame parooli käsuga passwd ja paigaldame käsuga opkg install [pakettide nimed] kõik vajalikud paketid:

Ruuteri seadistamise käigus olid paigaldatud järgmised paketid (käskluse opkg list-installed väljundi tulemus):

Pakettide nimekiri
bash — 5.0-3
busybox — 1.31.1-1
ca-bundle — 20190110-2
ca-certificates — 20190110-2
coreutils — 8.31-1
coreutils-mktemp — 8.31-1
cron — 4.1-3
curl — 7.69.0-1
diffutils — 3.7-2
dropbear — 2019.78-3
entware-release — 1.0-2
findutils — 4.7.0-1
glib2 — 2.58.3-5
grep — 3.4-1
ldconfig — 2.27-9
libattr — 2.4.48-2
libblkid — 2.35.1-1
libc — 2.27-9
libcurl — 7.69.0-1
libffi — 3.2.1-4
libgcc — 8.3.0-9
libiconv-full — 1.11.1-4
libintl-full — 0.19.8.1-2
liblua — 5.1.5-7
libmbedtls — 2.16.5-1
libmount — 2.35.1-1
libncurses — 6.2-1
libncursesw — 6.2-1
libndm — 1.1.10-1a
libopenssl — 1.1.1d-2
libopenssl-conf — 1.1.1d-2
libpcap — 1.9.1-2
libpcre — 8.43-2
libpcre2 — 10.34-1
libpthread — 2.27-9
libreadline — 8.0-1a
librt — 2.27-9
libslang2 — 2.3.2-4
libssh2 — 1.9.0-2
libssp — 8.3.0-9
libstdcpp — 8.3.0-9
libuuid — 2.35.1-1
libxml2 — 2.9.10-1
locales — 2.27-9
mc — 4.8.23-2
ndmq — 1.0.2-5a
nginx — 1.17.8-1
openssl-util — 1.1.1d-2
opkg — 2019-06-14-dcbc142e-2
opt-ndmsv2 — 1.0-12
php7 — 7.4.3-1
php7-mod-openssl — 7.4.3-1
poorbox — 1.31.1-2
terminfo — 6.2-1
zlib — 1.2.11-3
zoneinfo-asia — 2019c-1
zoneinfo-europe — 2019c-1

Võib-olla on siin midagi üleliigset, aga salvestusse on palju ruumi, seega ei hakanud uurima.

Pärast pakettide installimist seadistame nginx'i, proovisin kahel domeenil – teisel on seadistatud https, ja praegu on seal vahepealne leht. 81 ja 433 sisemisi porte kasutatakse 80 ja 443 asemel, kuna administraatori paneelid on normaalsetel portidel.

etc/nginx/nginx.conf

kasutaja  nobody;
worker_processes  1;
#error_log  /opt/var/log/nginx/error.log;
#error_log  /opt/var/log/nginx/error.log  notice;
#error_log  /opt/var/log/nginx/error.log  info;
#pid        /opt/var/run/nginx.pid;

events {
    worker_connections  64;
}

http {
    include       mime.types;
    default_type  application/octet-stream;
    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';
    #access_log  /opt/var/log/nginx/access.log main;
    sendfile        on;
    #tcp_nopush     on;
    #keepalive_timeout  0;
    keepalive_timeout  65;
    #gzip  on;

server {
    listen 81;
    server_name milkov.su www.milkov.su;
    return 301 https://milkov.su$request_uri;
}

server {
        listen 433 ssl;
        server_name milkov.su;
        #SSL support
        include ssl.conf;
        location / {
            root   /opt/share/nginx/html;
            index  index.html index.htm;
        error_page   500 502 503 504  /50x.html;
        location = /50x.html {
            root   html;
            }
        }
}


ssl_certificate /opt/etc/nginx/certs/milkov.su/fullchain.pem;
ssl_certificate_key /opt/etc/nginx/certs/milkov.su/privkey.pem;
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
ssl_prefer_server_ciphers on;
ssl_dhparam /opt/etc/nginx/dhparams.pem;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 5m;
ssl_stapling on;

Selleks, et veebisait töötaks https protokolliga, kasutasin tuntud skripti dehydrated, paigaldades selle vastavalt sellele juhendile. Selle protsessiga ei olnud keerukusi, takerdusin vaid sellele, et skripti tekstis, et see töötaks minu ruuteril, tuleb kommenteerida välja rida failis /opt/etc/ssl/openssl.cnf:

[openssl_conf]
#engines=engines

Ja mainin, et dhparams.pem genereerimine käsuga "openssl dhparam -out dhparams.pem 2048" minu ruuteril võtab üle 2 tunni, kui mitte edenemise indikaator — oleks kaotanud kannatuse ja taaskäivitanud.

Pärast sertifikaatide saamist taaskäivitame nginx'i käsuga "/opt/etc/init.d/S80nginx restart". Põhimõtteliselt on seaded sellega lõppenud, kuid veebisaiti veel ei ole — kui paneme katalooge /share/nginx/html faili index.html, näeme sulgu.

index.html

<!DOCTYPE html>
<html>
<head>
<title>Testleht!</title>
<style>
    body {
        width: 35em;
        margin: 0 auto;
        font-family: Tahoma, Verdana, Arial, sans-serif;
    }
</style>
</head>
<body>
<h1>Testleht!</h1>
<p>See on lihtne staatiline testleht, täiesti mitte midagi huvitavat.</p>
</body>
</html>

Et esitada teavet ilusti, on mittespetsialistil nagu mina lihtsam kasutada valmis mallide, pärast pikka erinevate kataloogide sirvimist leidsin templatemo.com — seal on üsna hea valik tasuta malle, mis ei nõua autorluse näitamist (mis on internetis haruldane, enamiku mallide litsentsid nõuavad, et säilitatud oleks link allikale, kust need saadud).

Valime sobiva malli — seal on erinevaid võimalusi, laadime arhiivi alla ja ekstraktime selle katalooge /share/nginx/html, seda saab teha juba oma arvutist, seejärel redigeerime malli (siin on vajalikud minimaalsed HTML-oskused, et struktuuri mitte rikuda) ja vahetame graafika, nagu on näidatud alloleval joonisel.

Kokkuvõte: ruuter on täiesti sobiv kergete veebisaitide majutamiseks, põhimõtteliselt — kui ei ole plaanis suurt koormust, võib paigaldada ka php, ja katsetada keerukamate projektidega (vaatan nextcloud/owncloud, tundub, et sellisel riistvaral on olnud edukaid paigaldusi). Pakettide paigaldamise võimalus tõstab selle kasulikkust — näiteks, kui oli vaja kaitsta RDP pordid kohalikus võrgus, panin knockd ruuterisse — ja pordi ümbersuunamine PC-le avanes ainult pärast port knockingut.

Miks just ruuter, mitte tavaline PC? Ruuter on üks väheseid arvutiseadmeid, mis töötab ööpäevaringselt paljudes korterites, kodune ruuter on tavaliselt täiesti vaikne ja kerge sait, mille külastuste arv päevas on alla saja, ei koorma seda sugugi.

Allikas: habr.com