ღრუბელი საქველმოქმედო ორგანიზაციებისთვის: მიგრაციის გზამკვლევი

ცოტა ხნის წინ, Mail.Ru Cloud Solutions (MCS) და Dobro Mail.Ru სერვისმა წამოიწყეს პროექტი.ღრუბელი საქველმოქმედო ორგანიზაციებისთვის”, რომლის წყალობითაც არაკომერციულ ორგანიზაციებს შეუძლიათ მიიღონ MCS ღრუბლოვანი პლატფორმის რესურსები უფასოდ. საქველმოქმედო ფონდი"სიკეთის არითმეტიკა» მიიღო მონაწილეობა პროექტში და წარმატებით განათავსა მისი ინფრასტრუქტურის ნაწილი MCS-ზე დაფუძნებული.

ვალიდაციის გავლის შემდეგ, NPO-ს შეუძლია მიიღოს ვირტუალური სიმძლავრე MCS-ისგან, მაგრამ შემდგომი კონფიგურაცია მოითხოვს გარკვეულ კვალიფიკაციას. ამ მასალაში ჩვენ გვინდა გაგიზიაროთ კონკრეტული ინსტრუქციები Ubuntu Linux-ზე დაფუძნებული სერვერის დასაყენებლად ძირითადი საფუძვლის ვებსაიტის და რამდენიმე ქვედომენის გასაშვებად უფასო SSL სერთიფიკატების გამოყენებით. ბევრისთვის ეს მარტივი გზამკვლევი იქნება, მაგრამ ვიმედოვნებთ, რომ ჩვენი გამოცდილება გამოადგება სხვა არაკომერციულ ორგანიზაციებს და არა მხოლოდ.

FYI: რა შეგიძლიათ მიიღოთ MCS-დან? 4 CPU, 32 GB ოპერატიული მეხსიერება, 1 TB HDD, Ubuntu Linux OS, 500 GB ობიექტების საცავი.

ნაბიჯი 1: გაუშვით ვირტუალური სერვერი

მოდით პირდაპირ საქმეზე გადავიდეთ და შევქმნათ ჩვენი ვირტუალური სერვერი (ანუ „მაგალითად“) თქვენს MCS პირად ანგარიშში. აპლიკაციების მაღაზიაში თქვენ უნდა აირჩიოთ და დააინსტალიროთ მზა LAMP სტეკი, რომელიც წარმოადგენს სერვერის პროგრამული უზრუნველყოფის კომპლექტს (LAMP = Linux, Apache, MySQL, PHP), რომელიც აუცილებელია ვებსაიტების უმეტესობის გასაშვებად.

აირჩიეთ შესაბამისი სერვერის კონფიგურაცია და შექმენით ახალი SSH გასაღები. ღილაკზე „ინსტალაციის“ დაჭერის შემდეგ დაიწყება სერვერისა და LAMP სტეკის ინსტალაცია, ამას გარკვეული დრო დასჭირდება. სისტემა ასევე შემოგთავაზებთ თქვენი კომპიუტერის პირადი გასაღების ჩამოტვირთვას, რათა მართოთ ვირტუალური მანქანა კონსოლის საშუალებით, შეინახოთ იგი.

აპლიკაციის ინსტალაციის შემდეგ დაუყოვნებლივ დავაყენოთ firewall, ეს ასევე კეთდება თქვენს პირად ანგარიშზე: გადადით განყოფილებაში „Cloud computing -> Virtual Machines“ და აირჩიეთ „Firewall-ის დაყენება“:

თქვენ უნდა დაამატოთ ნებართვა შემომავალი ტრაფიკისთვის 80 და 9997 პორტის საშუალებით. ეს აუცილებელია მომავალში SSL სერთიფიკატების დასაყენებლად და phpMyAdmin-თან მუშაობისთვის. შედეგად, წესების ნაკრები ასე უნდა გამოიყურებოდეს:

ახლა თქვენ შეგიძლიათ დაუკავშირდეთ თქვენს სერვერს ბრძანების ხაზის საშუალებით SSH პროტოკოლის გამოყენებით. ამისათვის აკრიფეთ შემდეგი ბრძანება, რომელიც მიუთითებს თქვენს კომპიუტერზე SSH კლავიშზე და თქვენი სერვერის გარე IP მისამართზე (შეგიძლიათ იპოვოთ ის განყოფილებაში "ვირტუალური მანქანები"):

$ ssh -i /путь/к/ключу/key.pem ubuntu@<ip_сервера>

სერვერთან პირველად დაკავშირებისას რეკომენდებულია მასზე ყველა მიმდინარე განახლების დაყენება და მისი გადატვირთვა. ამისათვის შეასრულეთ შემდეგი ბრძანებები:

$ sudo apt-get update

სისტემა მიიღებს განახლებების ჩამონათვალს, დააინსტალირებს მათ ამ ბრძანების გამოყენებით და მიჰყვება ინსტრუქციებს:

$ sudo apt-get upgrade

განახლებების დაყენების შემდეგ გადატვირთეთ სერვერი:

$ sudo reboot

ნაბიჯი 2: დააყენეთ ვირტუალური მასპინძლები

ბევრ არაკომერციულ ორგანიზაციას სჭირდება ერთდროულად რამდენიმე დომენის ან ქვედომენის შენარჩუნება (მაგალითად, მთავარი ვებსაიტი და რამდენიმე სარეკლამო გვერდი სარეკლამო კამპანიებისთვის და ა.შ.). ეს ყველაფერი შეიძლება მოხერხებულად განთავსდეს ერთ სერვერზე რამდენიმე ვირტუალური ჰოსტის შექმნით.

პირველ რიგში, ჩვენ უნდა შევქმნათ დირექტორია სტრუქტურა საიტებისთვის, რომლებიც ნაჩვენები იქნება ვიზიტორებისთვის. მოდით შევქმნათ რამდენიმე დირექტორია:

$ sudo mkdir -p /var/www/a-dobra.ru/public_html

$ sudo mkdir -p /var/www/promo.a-dobra.ru/public_html

და მიუთითეთ მიმდინარე მომხმარებლის მფლობელი:

$ sudo chown -R $USER:$USER /var/www/a-dobra.ru/public_html

$ sudo chown -R $USER:$USER /var/www/promo.a-dobra.ru/public_html

ცვალებადი $USER შეიცავს მომხმარებლის სახელს, რომლითაც ამჟამად ხართ შესული (ნაგულისხმევად ეს არის მომხმარებელი ubuntu). ახლა ამჟამინდელი მომხმარებელი ფლობს public_html დირექტორიებს, სადაც ჩვენ ვინახავთ კონტენტს.

ჩვენ ასევე გვჭირდება ცოტათი დაარედაქტიროთ ნებართვები, რათა დავრწმუნდეთ, რომ წაკითხვის წვდომა დაშვებულია საერთო ვებ დირექტორიაში და მასში შემავალ ყველა ფაილსა და საქაღალდეზე. ეს აუცილებელია საიტის გვერდების სწორად ჩვენებისთვის:

$ sudo chmod -R 755 /var/www

თქვენს ვებ სერვერს ახლა უნდა ჰქონდეს ნებართვები, რაც მას სჭირდება შინაარსის ჩვენებისთვის. გარდა ამისა, თქვენს მომხმარებელს ახლა აქვს შესაძლებლობა შექმნას შინაარსი საჭირო დირექტორიაში.

უკვე არის index.php ფაილი /var/www/html დირექტორიაში, მოდით დავაკოპიროთ იგი ჩვენს ახალ დირექტორიაში - ეს იქნება ჩვენი შინაარსი ამ დროისთვის:

$ cp /var/www/html/index.php /var/www/a-dobra.ru/public_html/index.php

$ cp /var/www/html/index.php /var/www/promo.a-dobra.ru/public_html/index.php

ახლა თქვენ უნდა დარწმუნდეთ, რომ მომხმარებელს შეუძლია თქვენს საიტზე წვდომა. ამისათვის ჩვენ ჯერ დავაკონფიგურირებთ ვირტუალური ჰოსტის ფაილებს, რომლებიც განსაზღვრავენ, თუ როგორ უპასუხებს Apache ვებ სერვერი სხვადასხვა დომენის მოთხოვნებს.

ნაგულისხმევად, Apache-ს აქვს ვირტუალური ჰოსტის ფაილი 000-default.conf, რომელიც შეგვიძლია გამოვიყენოთ როგორც საწყისი წერტილი. ჩვენ ვაპირებთ ამის კოპირებას, რათა შევქმნათ ვირტუალური მასპინძელი ფაილები თითოეული ჩვენი დომენისთვის. ჩვენ დავიწყებთ ერთი დომენით, დავაკონფიგურირებთ, დააკოპირებთ სხვა დომენს და შემდეგ კვლავ გავაკეთებთ საჭირო რედაქტირებებს.

Ubuntu-ს ნაგულისხმევი კონფიგურაცია მოითხოვს, რომ თითოეულ ვირტუალურ მასპინძელ ფაილს ჰქონდეს *.conf გაფართოება.

დავიწყოთ პირველი დომენისთვის ფაილის კოპირებით:

$ sudo cp /etc/apache2/sites-available/000-default.conf /etc/apache2/sites-available/a-dobra.ru.conf

გახსენით ახალი ფაილი რედაქტორში root უფლებებით:

$ sudo nano /etc/apache2/sites-available/a-dobra.ru.conf

შეცვალეთ მონაცემები შემდეგნაირად, მიუთითეთ პორტი 80, თქვენი მონაცემები ServerAdmin, ServerName, ServerAlias, ისევე როგორც თქვენი საიტის ძირეული დირექტორიაში მიმავალი გზა, შეინახეთ ფაილი (Ctrl+X, შემდეგ Y):

<VirtualHost *:80>
 
    ServerAdmin [email protected]
    ServerName a-dobra.ru
    ServerAlias www.a-dobra.ru
 
    DocumentRoot /var/www/a-dobra.ru/public_html
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined
 
    <Directory /var/www/a-dobra.ru/public_html>
        Options -Indexes +FollowSymLinks +MultiViews
        AllowOverride All
        Require all granted
    </Directory>
 
    <FilesMatch .php$>
        SetHandler "proxy:unix:/var/run/php/php7.2-fpm.sock|fcgi://localhost/"
    </FilesMatch>
 
</VirtualHost>

ServerName ადგენს ძირითად დომენს, რომელიც უნდა ემთხვეოდეს ვირტუალურ ჰოსტის სახელს. ეს უნდა იყოს თქვენი დომენის სახელი. მეორე, ServerAlias, განსაზღვრავს სხვა სახელებს, რომლებიც უნდა იქნას ინტერპრეტირებული ისე, თითქოს ეს იყოს პირველადი დომენი. ეს მოსახერხებელია დამატებითი დომენური სახელების გამოსაყენებლად, მაგალითად www.

მოდით დავაკოპიროთ ეს კონფიგურაცია სხვა ჰოსტისთვის და ასევე დაარედაქტიროთ იგი იმავე გზით:

$ sudo cp /etc/apache2/sites-available/a-dobra.ru.conf /etc/apache2/sites-available/promo.a-dobra.ru.conf

თქვენ შეგიძლიათ შექმნათ იმდენი დირექტორია და ვირტუალური ჰოსტი თქვენი ვებსაიტებისთვის, რამდენიც გსურთ! ახლა, როდესაც ჩვენ შევქმენით ჩვენი ვირტუალური მასპინძელი ფაილები, ჩვენ უნდა გავააქტიუროთ ისინი. ჩვენ შეგვიძლია გამოვიყენოთ a2ensite უტილიტა ჩვენი თითოეული საიტის გასააქტიურებლად:

$ sudo a2ensite a-dobra.ru.conf

$ sudo a2ensite promo.a-dobra.ru.conf 

ნაგულისხმევად, პორტი 80 დახურულია LAMP-ში და მოგვიანებით დაგვჭირდება SSL სერთიფიკატის დასაყენებლად. მოდით, დაუყოვნებლივ ჩავასწოროთ ports.conf ფაილი და შემდეგ გადატვირთოთ Apache:

$ sudo nano /etc/apache2/ports.conf

დაამატეთ ახალი ხაზი და შეინახეთ ფაილი ასე რომ გამოიყურებოდეს:

Listen 80
Listen 443
Listen 9997

პარამეტრების დასრულების შემდეგ, თქვენ უნდა გადატვირთოთ Apache, რომ ყველა ცვლილება ძალაში შევიდეს:

$ sudo systemctl reload apache2

ნაბიჯი 3: დააყენეთ დომენური სახელები

შემდეგი, თქვენ უნდა დაამატოთ DNS ჩანაწერები, რომლებიც მიუთითებს თქვენს ახალ სერვერზე. დომენების სამართავად, ჩვენი კარგი ფონდი არითმეტიკა იყენებს dns-master.ru სერვისს, ჩვენ ამას მაგალითით ვაჩვენებთ.

ძირითადი დომენისთვის A- ჩანაწერის დაყენება ჩვეულებრივ მითითებულია შემდეგნაირად (ნიშანი @):

ქვედომენების ჩანაწერი ჩვეულებრივ მითითებულია ასე:

IP მისამართი არის Linux სერვერის მისამართი, რომელიც ჩვენ ახლახან შევქმენით. შეგიძლიათ მიუთითოთ TTL = 3600.

გარკვეული პერიოდის შემდეგ, შესაძლებელი იქნება თქვენი საიტის მონახულება, მაგრამ ჯერჯერობით მხოლოდ მეშვეობით http://. შემდეგ ეტაპზე ჩვენ დავამატებთ მხარდაჭერას https://.

ნაბიჯი 4: დააყენეთ უფასო SSL სერთიფიკატები

შეგიძლიათ მიიღოთ უფასო Let's Encrypt SSL სერთიფიკატები თქვენი მთავარი საიტისთვის და ყველა ქვედომენისთვის. თქვენ ასევე შეგიძლიათ დააკონფიგურიროთ მათი ავტომატური განახლება, რაც ძალიან მოსახერხებელია. SSL სერთიფიკატების მისაღებად დააინსტალირეთ Certbot თქვენს სერვერზე:

$ sudo add-apt-repository ppa:certbot/certbot

დააინსტალირეთ Certbot პაკეტი Apache-სთვის apt:

$ sudo apt install python-certbot-apache 

ახლა Certbot მზად არის გამოსაყენებლად, გაუშვით ბრძანება:

$ sudo certbot --apache -d a-dobra.ru -d www.a-dobra.ru -d promo.a-dobra.ru

ეს ბრძანება უშვებს certbot, გასაღებებს -d განსაზღვრეთ იმ დომენების სახელები, რომლებზეც უნდა გაიცეს სერტიფიკატი.

თუ პირველად გაუშვით certbot, მოგეთხოვებათ შეიყვანოთ თქვენი ელექტრონული ფოსტის მისამართი და დაეთანხმოთ სერვისით სარგებლობის პირობებს. შემდეგ certbot დაუკავშირდება Let's Encrypt სერვერს და შემდეგ დაადასტურებს, რომ თქვენ რეალურად აკონტროლებთ დომენს, რომლისთვისაც მოითხოვეთ სერთიფიკატი.

თუ ყველაფერი კარგად წავიდა, certbot გკითხავთ, როგორ გსურთ HTTPS კონფიგურაციის კონფიგურაცია:

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

ჩვენ გირჩევთ აირჩიოთ ვარიანტი 2 და დააჭიროთ ENTER. კონფიგურაცია განახლდება და Apache გადაიტვირთება ცვლილებების გამოსაყენებლად.

თქვენი სერთიფიკატები ახლა ჩამოტვირთულია, დაინსტალირებული და მუშაობს. სცადეთ თქვენი საიტის გადატვირთვა https://-ით და თქვენს ბრაუზერში დაინახავთ უსაფრთხოების ხატულას. თუ თქვენ შეამოწმებთ თქვენს სერვერს SSL Labs სერვერის ტესტი, ის მიიღებს A ხარისხს.

Let's Encrypt სერთიფიკატები მოქმედებს მხოლოდ 90 დღის განმავლობაში, მაგრამ ჩვენ მიერ ახლახან დაინსტალირებული certbot პაკეტი ავტომატურად განაახლებს სერთიფიკატებს. განახლების პროცესის შესამოწმებლად, ჩვენ შეგვიძლია გავაკეთოთ certbot-ის მშრალი გაშვება:

$ sudo certbot renew --dry-run 

თუ ამ ბრძანების გაშვების შედეგად ვერ ხედავთ შეცდომებს, მაშინ ყველაფერი მუშაობს!

ნაბიჯი 5: წვდომა MySQL და phpMyAdmin

ბევრი ვებსაიტი იყენებს მონაცემთა ბაზას. phpMyAdmin ინსტრუმენტი მონაცემთა ბაზის მართვისთვის უკვე დაინსტალირებულია ჩვენს სერვერზე. მასზე წვდომისთვის გადადით თქვენს ბრაუზერში ბმულის გამოყენებით, როგორიცაა:

https://<ip-адрес сервера>:9997

root წვდომის პაროლის მიღება შეგიძლიათ თქვენს MCS პირად ანგარიშში (https://mcs.mail.ru/app/services/marketplace/apps/). არ დაგავიწყდეთ შეცვალოთ თქვენი root პაროლი პირველივე შესვლისას!

ნაბიჯი 6: დააყენეთ ფაილის ატვირთვა SFTP-ის საშუალებით

დეველოპერები მოსახერხებელია თქვენი ვებსაიტის ფაილების SFTP-ის საშუალებით ატვირთვას. ამისათვის ჩვენ შევქმნით ახალ მომხმარებელს, ვუწოდებთ მას ვებმასტერს:

$ sudo adduser webmaster

სისტემა მოგთხოვთ დააყენოთ პაროლი და შეიყვანოთ სხვა მონაცემები.

კატალოგის მფლობელის შეცვლა თქვენი ვებსაიტით:

$ sudo chown -R webmaster:webmaster /var/www/a-dobra.ru/public_html

ახლა მოდით შევცვალოთ SSH კონფიგურაცია ისე, რომ ახალ მომხმარებელს ჰქონდეს წვდომა მხოლოდ SFTP-ზე და არა SSH ტერმინალზე:

$ sudo nano /etc/ssh/sshd_config

გადადით კონფიგურაციის ფაილის ბოლომდე და დაამატეთ შემდეგი ბლოკი:

Match User webmaster
ForceCommand internal-sftp
PasswordAuthentication yes
ChrootDirectory /var/www/a-dobra.ru
PermitTunnel no
AllowAgentForwarding no
AllowTcpForwarding no
X11Forwarding no

შეინახეთ ფაილი და გადატვირთეთ სერვისი:

$ sudo systemctl restart sshd

ახლა თქვენ შეგიძლიათ დაუკავშირდეთ სერვერს ნებისმიერი SFTP კლიენტის საშუალებით, მაგალითად, FileZilla-ს მეშვეობით.

სულ

1. ახლა თქვენ იცით, როგორ შექმნათ ახალი დირექტორიები და დააკონფიგურიროთ ვირტუალური ჰოსტები თქვენი ვებსაიტებისთვის იმავე სერვერზე.
2. თქვენ შეგიძლიათ მარტივად შექმნათ საჭირო SSL სერთიფიკატები - ეს უფასოა და ისინი ავტომატურად განახლდება.
3. თქვენ შეგიძლიათ მოხერხებულად იმუშაოთ MySQL მონაცემთა ბაზასთან ნაცნობი phpMyAdmin-ის საშუალებით.
4. ახალი SFTP ანგარიშების შექმნა და წვდომის უფლებების დაყენება დიდ ძალისხმევას არ მოითხოვს. ასეთი ანგარიშები შეიძლება გადაეცეს მესამე მხარის ვებ დეველოპერებს და საიტის ადმინისტრატორებს.
5. არ დაგავიწყდეთ სისტემის პერიოდულად განახლება და ჩვენ ასევე გირჩევთ სარეზერვო ასლების გაკეთებას - MCS-ში შეგიძლიათ ერთი დაწკაპუნებით გადაიღოთ მთელი სისტემის „სნეპშოტები“ და შემდეგ, საჭიროების შემთხვევაში, გაუშვათ მთელი სურათები.

გამოყენებული რესურსები, რომლებიც შეიძლება სასარგებლო იყოს:

https://www.digitalocean.com/community/tutorials/apache-ubuntu-14-04-lts-ru
https://www.digitalocean.com/community/tutorials/apache-let-s-encrypt-ubuntu-18-04-ru
https://www.digitalocean.com/community/tutorials/how-to-enable-sftp-without-shell-access-on-ubuntu-18-04

სხვათა შორის, აქ თქვენ შეგიძლიათ წაიკითხოთ VC-ზე, თუ როგორ განათავსა ჩვენმა ფონდმა ობლების ონლაინ განათლების პლატფორმა MCS ღრუბელზე დაფუძნებული.

წყარო: www.habr.com