Executant WordPress a OpenBSD 6.6 amb OpenBSD HTTPD

• Introducció
• Configuració inicial
• Obteniu els certificats de Let's Encrypt
• Configurant HTTPD per a WordPress
• Preparar i configurar PHP i PHP-FPM
• Preparar i configurar MariaDB
• Instal·leu i configureu WordPress
• Còpia de seguretat del vostre lloc web i base de dades de WordPress
• Restauració del vostre lloc web de WordPress

Introducció

Tenint en compte l'afició d'OpenBSD a la seguretat, només té sentit alimentar el vostre lloc web de WordPress amb ell, sobretot perquè WordPress i PHP solen ser objectius mòbils per als nens amb guió. Com que l'httpd d'OpenBSD està dissenyat principalment per oferir pàgines estàtiques, les operacions POST es reserven per als processos fastcgi i slowcgi. Això fa que sigui més difícil per a un actor canalla trencar potencialment el procés del servidor web i accedir al vostre servidor. Les operacions POST es canalitzen al procés fastcgi i utilitzen un intèrpret extern. Aquest article parlarà no només de la configuració del vostre lloc de WordPress, sinó d'algunes tècniques bàsiques de manteniment i com fer una còpia de seguretat i restaurar el vostre lloc i la seva base de dades. Allà on veieu example.comcom a domini, substituïu-lo pel vostre domini.

Configuració inicial

Si encara no ho heu fet, haureu de crear un /etc/doas.conffitxer. L'ordre doas és el fàcil reemplaçament de sudo d'OpenBSD. Per comoditat, he afegit l'opció nopass perquè no haureu de tornar a escriure la vostra contrasenya quan feu servir doas. Si preferiu no tenir-ho, simplement ometeu nopass.

su - echo "permit nopass keepenv :wheel" > /etc/doas.conf

Depenent de com es va empaquetar OpenBSD per al desplegament, de vegades és possible que el gestor de paquets no tingui un repositori configurat. Per configurar el repositori oficial d'OpenBSD, hem de crear el /etc/installurlfitxer.

doas su echo "https://cdn.openbsd.org/pub/OpenBSD" > /etc/installurl exit

Ara hem d'afegir PHP i alguns mòduls addicionals que necessitarà WordPress per gestionar coses com ara imatges i xifratge. Quan se us demani, trieu instal·lar el paquet més nou de PHP. Una cosa que heu de fer és copiar els fitxers ini del mòdul del directori de mostra al principal. Això s'ha de fer per habilitar els mòduls PHP addicionals.

doas pkg_add -r mariadb-client mariadb-server php php-curl php-mysqli php-zip pecl73-mcrypt pecl73-imagick wget doas cp /etc/php-7.3.sample/* /etc/php-7.3/.

Obteniu els certificats de Let's Encrypt

En el món actual, els llocs web s'han de servir mitjançant SSL o els motors de cerca s'han de rebaixar. Afortunadament, OpenBSD té una gran aplicació anomenada acme-client. L'acme-client generarà automàticament una nova clau privada i sol·licitarà un nou certificat totalment vàlid. L'acme-client depèn de tenir un servidor web al seu lloc, de manera que haurem de crear una definició ràpida de servidor per defecte.

Amb el teu editor preferit, crea /etc/httpd.conf. Més endavant afegirem les altres definicions de servidor al fitxer. De moment això serà suficient perquè acme-client funcioni correctament.

prefork 5 types { include "/usr/share/misc/mime.types" } server "default" { listen on egress port 80 root "/htdocs" directory index "index.html" location "/.well-known/acme-challenge/*" { request strip 2 root "/acme" } }

També utilitza el teu editor preferit, crea /etc/acme-client.conf.

authority letsencrypt { api url "https://acme-v02.api.letsencrypt.org/directory" account key "/etc/acme/letsencrypt-privkey.pem" } authority letsencrypt-staging { api url "https://acme-staging-v02.api.letsencrypt.org/directory" account key "/etc/acme/letsencrypt-staging-privkey.pem" } domain example.com { alternative names { www.example.com } domain key "/etc/ssl/private/example.com.key" domain full chain certificate "/etc/ssl/example.com.crt" sign with letsencrypt }

Ara hem d'habilitar i iniciar httpd. Un cop fet això, podem executar acme-client i esperar que obtingui el nostre certificat nou i nou. Després de fer-ho, afegirem una tasca de cron per sol·licitar-ne una de nova automàticament cada 7 dies perquè no ens haurem de preocupar per la caducitat.

doas rcctl enable httpd doas rcctl start httpd doas acme-client -v example.com

Ara creem el treball cron. Afegeix aquesta línia a sota de l'última entrada. En aquest cas, demanem a acme-client que sol·liciti el nou certificat a la 1:00 AM cada dissabte.

doas crontab -e 0 1 * * 6 acme-client -F example.com && rcctl reload httpd

Configurant HTTPD per a WordPress

Ara és el moment de configurar httpd per a WordPress. En lloc de col·locar la definició del nostre lloc web directament a /etc/httpd.conf, la col·locarem en un fitxer separat anomenat /etc/httpd.conf.example.comi l'inclourem al fitxer de configuració principal. En general, és una bona pràctica separar els dos, mantenint les definicions de tot el lloc al fitxer de configuració principal i la configuració específica del domini en un altre.

Afegiu la línia següent al final del vostre /etc/httpd.conffitxer:

include "/etc/httpd.conf.example.com"

Ara fent servir el vostre editor preferit, creeu el vostre /etc/httpd.conf.example.com. Per comoditat, crearem fitxers de registre separats per al vostre domini. Això fa que sigui més fàcil quan intenteu perseguir possibles problemes amb el vostre lloc.

server "example.com" { listen on egress port 80 alias "www.example.com" # Automatically redirect to SSL block return 302 "https://$SERVER_NAME$REQUEST_URI" log { access "access-example.com" error "error-example.com" } } server "example.com" { listen on egress tls port 443 alias "www.example.com" root "/htdocs/wordpress" directory index "index.php" log { access "access-example.com" error "error-example.com" } tcp { nodelay, backlog 10 } tls { certificate "/etc/ssl/example.com.crt" key "/etc/ssl/private/example.com.key" } hsts { # max-age value is the number of seconds in 1 year max-age 31556952 preload subdomains } location "/.well-known/acme-challenge/*" { root "/acme" request strip 2 } location "/posts/*" { fastcgi { param SCRIPT_FILENAME \ "/htdocs/wordpress/index.php" socket "/run/php-fpm.sock" } } location "/page/*" { fastcgi { param SCRIPT_FILENAME \ "/htdocs/wordpress/index.php" socket "/run/php-fpm.sock" } } location "/feed/*" { fastcgi { param SCRIPT_FILENAME \ "/htdocs/wordpress/index.php" socket "/run/php-fpm.sock" } } location "/comments/feed/*" { fastcgi { param SCRIPT_FILENAME \ "htdocs/wordpress/index.php" socket "/run/php-fpm.sock" } } location "/wp-json/*" { fastcgi { param SCRIPT_FILENAME \ "htdocs/wordpress/index.php" socket "/run/php-fpm.sock" } } location "/wp-login.php*" { authenticate "WordPress" with "/htdocs/htpasswd" fastcgi socket "/run/php-fpm.sock" } location "*.php*" { fastcgi socket "/run/php-fpm.sock" } }

Per a una major seguretat, implementarem un missatge addicional per a un nom d'usuari i una contrasenya quan inicieu sessió al lloc d'administració de WordPress. Com que als nens amb script els agrada provar repetidament l'inici de sessió de WordPress amb força bruta, creem un inici de sessió addicional a nivell de servidor web. Normalment, obtenen unes 5 conjectures abans que WordPress llança un error 401 no autoritzat.

doas su cd /var/www/htdocs doas htpasswd htpasswd <user> doas chown www:www htpasswd doas chmod 0640 htpasswd doas rcctl reload httpd

Preparar i configurar PHP i PHP-FPM

Hem de fer un canvi en php perquè la vostra instal·lació de WordPress pugui enviar correus electrònics. WordPress i alguns connectors depenen de la capacitat d'enviar correus electrònics per notificar-vos actualitzacions, alertes i canvis. La impossibilitat d'enviar correus electrònics pot trencar determinades funcions de WordPress. Com que httpd s'executa en un entorn chrooted, hem d'indicar a php com enviar correus electrònics. A més, hem de fer algunes modificacions de rendiment a php-fpm.

Busqueu la sendmail_pathlínia d'entrada /etc/php-7.3.inii feu el canvi següent:

; For Unix only. You may supply arguments as well (default: "sendmail -t -i"). ; sendmail_path = sendmail_path = /bin/femail -t -i

Busqueu les línies següents /etc/php-fpm.confi canvieu-les de la següent manera:

pm.start_servers = 5 pm.min_spare_servers = 1 pm.max_spare_servers = 6

El següent pas és habilitar i iniciar php-fpm.

doas rcctl enable php73_fpm doas rcctl start php73_fpm

Preparar i configurar MariaDB

MariaDB és una bifurcació de reemplaçament de MySQL. Hem de fer un treball de configuració inicial i preparació de bases de dades per a WordPress.

Abans de poder utilitzar MariaDB de manera eficaç, hem de permetre que el dimoni mysql utilitzi més recursos que el predeterminat. Per fer-ho, feu els canvis següents /etc/login.confafegint aquesta entrada a la part inferior.

mysqld:\ :openfiles-cur=1024:\ :openfiles-max=2048:\ :tc=daemon:

Hem de fer alguns canvis al fitxer de configuració de MariaDB, /etc/my.cnf. Si el client i el servidor mysql es comuniquen mitjançant un sòcol de domini UNIX en lloc de TCP, l'ús de memòria del vostre servidor es pot mantenir més baix. No cal que feu tots els canvis suggerits a continuació. Els dos importants a canviar són la socketlínia i comentar la bind-addresslínia. Això mou el sòcol dins de l' /var/wwwentorn chroot perquè WordPress es pugui connectar a la base de dades. En comentar la bind-addresslínia, evitem que MariaDB escolti en un port TCP.

[client-server] socket=/var/www/var/run/mysql/mysql.sock #port=3306 # This will be passed to all MariaDB clients [client] #password=my_password # The MariaDB server [mysqld] # To listen to all IPv4 network addresses, use "bind-address = 0.0.0.0" #bind-address=127.0.0.1 # Directory where you want to put your data #data=/var/mysql # This is the prefix name to be used for all log, error and replication files #log-basename=mysqld # Logging #log-bin=/var/mysql/mariadb-bin #max_binlog_size=100M #binlog_format=row #expire_logs_days = 7 #general-log #slow_query_log query_cache_type = 1 query_cache_limit = 1M query_cache_size = 16M

Ara hem d'executar el binari d'instal·lació de MariaDB i habilitar i iniciar MariaDB. Aquest procediment establirà una contrasenya d'arrel i, opcionalment, deixarà anar la base de dades de prova. És una bona idea seguir tots els suggeriments en l'etapa d'instal·lació segura.

doas mysql_install_db doas rcctl enable mysqld doas rcctl start mysqld doas mysql_secure_installation

Creeu la base de dades de WordPress i l'usuari de la base de dades. Recordeu substituir-lo <wp_user>amb el nom d'usuari de la base de dades que trieu i <password>per una contrasenya complexa que trieu.

mysql -u root -p CREATE DATABASE wordpress; GRANT ALL PRIVILEGES ON wordpress.* TO '<wp_user>'@'localhost' IDENTIFIED BY '<password>'; FLUSH PRIVILEGES; EXIT

Instal·leu i configureu WordPress

WordPress no té un port oficial d'OpenBSD des de fa molt de temps perquè funciona pràcticament des de la caixa. Baixeu, extreu i moveu la carpeta d'instal·lació de WordPress.

cd /tmp wget https://wordpress.org/latest.tar.gz tar xvfz latest.tar.gz doas mv wordpress /var/www/htdocs/. doas chown -R www:www /var/www/htdocs/wordpress doas chmod 0755 /var/www/htdocs/wordpress cd /var/www/htdocs/wordpress/ find . -type d -exec chmod 755 {} \; find . -type f -exec chmod 644 {} \;

Hem de copiar /etc/resolv.confi /etc/hostsen un directori que anem a crear anomenat /var/www/etc. Això és perquè WordPress pugui arribar amb èxit al mercat. Ho necessitareu per descarregar complements i temes a través del lloc d'administració de WordPress. També és important que el connector Jet Pack funcioni correctament.

doas mkdir /var/www/etc doas cp /etc/hosts /var/www/etc/. doas cp /etc/resolv.conf /var/www/etc/.

Des d'aquí, navegueu al vostre lloc web de WordPress mitjançant https mitjançant l'URL que heu especificat a la definició del servidor web. Si tot funciona correctament, hauríeu de veure l'assistent d'instal·lació de WordPress. Quan arribeu a l'opció d'especificar un servidor de bases de dades, hauríeu d'utilitzarlocalhost:/var/run/mysql/mysql.sock

Un cop instal·lat WordPress, és hora de configurar els enllaços permanents perquè semblin més amigables amb el SEO. Des de la pantalla d'administració de WordPress, aneu a Settings -> Permalinks. Feu clic a Estructura personalitzada i escriviu /posts/%postname%. Després de fer aquest canvi, feu clic al botó Desa els canvis. Ara teniu enllaços molt més bonics. Per exemple, un enllaç permanent tindrà aquest aspecte:https://example.com/posts/example-blog-post

A partir d'aquí, hauríeu de tenir un lloc web bàsic a punt per funcionar. Assegureu-vos que instal·leu connectors com Jet Pack i WP-Super Cache. El connector WP-Super Cache ajuda a accelerar el vostre lloc web guardant pàgines web a la memòria cau i eliminant les cerques constants de bases de dades i JetPack us ofereix unes estadístiques de visualització excel·lents.

Còpia de seguretat del vostre lloc web i base de dades de WordPress

No cal dir que fer una còpia de seguretat del vostre lloc web i de la vostra base de dades és molt important. Afortunadament, això és una cosa relativament fàcil de fer. Feu una còpia de seguretat de tots dos al vostre directori d'inici i després podeu copiar-los mitjançant scp a una altra ubicació. També podeu crear una instantània mitjançant el tauler de control de Vultr. És una bona idea fer les dues coses.

cd /var/www/htdocs tar cvfz wordpress.tgz wordpress/ cp wordpress.tgz /home/user mysqldump -u root -p wordpress > wordpress.sql && gzip wordpress.sql

Restauració del vostre lloc web de WordPress

Si la vostra base de dades es va danyar i cal una restauració, feu el següent:

gunzip wordpress.sql.gz mysql -u root -p wordpress DROP USER '<user>'@'localhost'; DROP DATABASE wordpress; CREATE DATABASE wordpress; GRANT ALL PRIVILEGES ON wordpress.* TO '<wp_user>'@'localhost' IDENTIFIED BY '<password>'; FLUSH PRIVILEGES; EXIT mysql -u root -p wordpress < wordpress.sql

Si heu fet un canvi en un fitxer d'script de WordPress que ha trencat alguna cosa, sempre podeu reinstal·lar WordPress mitjançant el tauler de control d'administració. Busqueu la Updatessecció i feu clic a l'enllaç. Busqueu un botó etiquetat Re-install Now. Això almenys arreglarà el que està trencat, però la majoria de la vostra configuració hauria de romandre intacta.

Si la vostra base de dades està en bon estat, però heu editat un fitxer accidentalment i heu trencat les coses fins al punt que ni tan sols podeu accedir a la consola d'administració de WordPress, feu el següent:

rm /var/www/htdocs/wordpress cp /home/user/wordpress.tgz /tmp tar xvfz wordpress.tgz mv wordpress /var/www/htdocs/. chown -R www:www /var/www/htdocs/wordpress cd /var/www/htdocs/wordpress find . -type d -exec chmod 755 {} \; find . -type f -exec chmod 644 {} \;