Правильный хостинг для MODX Revolution — Текстовая версия

Видео можно посмотреть здесь: http://ilyaut.ru/video/hosting-for-modx/

Предлагаю вашему вниманию вторую версию инструкции по созданию собственного хостинга для сайтов на MODX Revolution и не только.

На сей раз я заснял и смонтировал видео всего процесса, постарался от души. Можно скачать в ультра-мега качестве (FullHD 1920x1080x25, 785mb).

Как работает

Сервер строится на базе Ubuntu + Nginx + Php5-fpm + mySql + Sendmail.

На каждый сайт приходится
— 1 выделенный пользователь
— 1 база данных
— 1 доступ по SFTP

Все файлы сайта принадлежат этому юзеру, он может заходить удалённо и менять их. Php для сайта запускается от имени этого пользователя и обладает его правами.

Помимо ограничения прав php правами юзера, он также запускается с отключением опасных функций и включением open_basedir в директорию юзера.

Такая конфигурация, на мой взгляд, максимально безопасна. Если поломают один сайт — все остальные даже потрогать не смогут.

Выше своей директории просто физически нельзя подняться без взлома ядра операционной системы — а это уже совсем другой уровень атаки.

Для доступа в консоль сервера используется юзер user. Вам я советую создавать этого пользователя под другим именем. Суперпользователю root вход запрещен вообще, чтобы злоумышленнику кроме пароля пришлось подобрать еще и имя.
После входа на сервер user может делать sudo и получать привелегии root.

Этот пользователь должен использоваться только для управления сервером. У него нет сайтов, он не владеет файлами сайтов. Конечно, он также может использовать SFTP для своих нужд.

Сам порт ssh защищается от перебора iptables, путём блокировки неудачных попыток входа на 30 секунд.

Почтовый сервер настраивается только на отправку писем. Получение почты я рекомендую отдать Яндекс или Google.

Всю работу с сайтами обеспечивают мои консольные скрипты, которые снимают весь головняк по создании сайтов, баз данных и прочей рутины.

Советую самостоятельно настроить резервное копирование и выгрузку в Dropbox, этого на видео нет.

Этапы установки

1. Регистрация на Linode.

Я использовал Qiwi Visa Virtual, на которую положил $ 20 для оплаты услуг Linode на месяц.

Если платить во второй половине месяца — то снимут деньги за полтора месяца. Если в первой — то только за остаток текущего.

Не забываем указать реферальный код, чтобы мне начислялись бонусы за вашу работу с Linode — 4ac9bb5460f53c3f6b4da61c11d76a19c093a69a.

2. Настройка ssh

Нужно запретить вход root, создать юзера для sudo и защитить 22й порт.

Скрипт защиты

#!/bin/bash

# Очистка цепочек правил
iptables -F INPUT
iptables -Z INPUT
iptables -P INPUT ACCEPT

iptables -F OUTPUT
iptables -Z OUTPUT
iptables -P OUTPUT ACCEPT

iptables -F FORWARD
iptables -Z FORWARD
iptables -P FORWARD ACCEPT

# Защита порта ssh, время блокировки - 30 секунд
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 30 -j DROP
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT

В /etc/ssh/sshd_config
— Меняем PermitRootLogin no
— Комментируем #Subsystem sftp /usr/lib/openssh/sftp-server
— Добавляем в конец

Subsystem sftp internal-sftp
Match Group sftp
	ChrootDirectory %h
	AllowTCPForwarding no
	ForceCommand internal-sftp

Еще нужно добавить группу sftp:

addgroup sftp

В неё будут добавляться владельцы сайтов, чтобы управлять файлами через SFTP.

3. Установка нужных пакетов

apt-get install python-software-properties
add-apt-repository ppa:nginx/stable
apt-get update
apt-get install nginx php5-fpm mysql-server php5-mcrypt php5-mysql php5-curl php-db php5-gd unzip zip sendmail htop

Во время установки нужно указать пароль для root mySql.

4. Настройка почты

В /etc/hosts нужно указать внешний ip сервера для своего домена (или localhost), чтобы sendmail мог определять свой ip.
Имя домена нужно указать в /etc/hostname.

127.0.0.1       localhost
195.167.123.115   mydomain.com mydomain

Затем нужно указать не принимать свои же письма при отправке на свой домен в /etc/mail/sendmail.mc

define(`MAIL_HUB', `mydomain.com.')dnl
define(`LOCAL_RELAY', `mydomain.com.')dnl

Потом в консоли

sendmailconfig
service sendmail restart

И проверяем

echo -e "To: user@mydomain.com\\nSubject: Test\\nTest\\n" | sendmail -bm -t -v

5. Установка и проверка скриптов MODX

Для установки MODX из консоли нужно указать параметр date.timezone в /etc/php5/cli/php.ini, например:

date.timezone = Europe/Moscow

Затем копируем скрипты:
Addplace — gist.github.com/bezumkin/3833852 — Создаёт место под сайт
Install — gist.github.com/bezumkin/2179479 — Создаёт место и ставит MODX
Update — gist.github.com/bezumkin/2179440 — Обновление MODX
Remove — gist.github.com/bezumkin/2179492 — Удаление места с сайтом и БД
В скриптах обязательно нужно указать пароль root юзера mysql.

6. Установка PhpMyAdmin

Качаем дистрибутив отсюда.
Создаём директорию config, доступную для записи, настраиваем логин\пароль для БД и сохраняем конфиг. Затем переносим его в корень сайта, немного меняем дамп таблиц pma и импортируем их в БД.

Не забудьте удалить директории config и setup, после успешной настройки.

Источник: modx.pro/hosting/678-the-right-hosting-for-modx-revolution-2/
Теперь всё должно работать.