Установка сервера telegram — различия между версиями

Материал из Справочная информация по работе с СЭД
Перейти к: навигация, поиск
Строка 3: Строка 3:
 
sudo apt-get install samba<br>
 
sudo apt-get install samba<br>
 
Разрешаем автостарт сервиса:<br>
 
Разрешаем автостарт сервиса:<br>
 +
sudo systemctl enable smbd<br>
 +
И проверим, что сервис запустился: <br>
 +
sudo systemctl status smbd<br>
 +
Создадим пользователя для доступа к папке<br>
 +
sudo useradd telegra<br>
 +
Назначим ему пароль<br>
 +
sudo passwd telegra<br>
 +
Дважды введем пароль<br>
 +
Создадим пользователя в самбе<br>
 +
sudo smbpasswd -a telegra<br>
 +
Теперь создадим папку, доступ к которой будут иметь ограниченное количество пользователей.<br>
 +
Открываем конфигурационный файл samba:<br>
 +
sudo nano /etc/samba/smb.conf<br>
 +
Добавляем настройку для новой папки в конец файла, комментим строчки с принтерами (если они не нужны):<br>
 +
[telegram]<br>
 +
    comment = Private Folder<br>
 +
    path = /var/www/telegram<br>
 +
    public = no<br>
 +
    writable = no<br>
 +
    read only = yes<br>
 +
    guest ok = no<br>
 +
    valid users = admin, telegra<br>
 +
    write list = admin, telegra<br>
 +
    create mask = 0777<br>
 +
    directory mask = 0777<br>
 +
    force create mode = 0777<br>
 +
    force directory mode = 0777<br>
 +
    inherit owner = yes<br>
 +
* стоит обратить внимание на следующие настройки:<br>
 +
path = /data/private — используем новый путь до папки.<br>
 +
writable = no и read only = yes — в данном примере мы разрешим запись в каталог только некоторым пользователям. Поэтому общие настройки, разрешающие запись в папку, должны быть запрещены.<br>
 +
valid users — список пользователей, которым разрешено подключаться к каталогу. В данном примере разрешения работают для пользователей admin, telegra, а также для всех, кто входим в группу privateusers.<br>
 +
write list — список пользователей, которые имеют доступ к папке на чтение и запись. В данном примере мы разрешаем это только для пользователей admin и telegra.<br>
 +
inherit owner — опция позволяем включить наследование владельца при создании папок и файлов.<br>
 +
* если мы хотим, чтобы доступ к каталогу был полный у определенных пользователей (без разделения на тех, кто может только читать и тех, кто может также писать в папку), то опцию write list можно не указывать, а опции writable и read only оставить как в примерах выше.<br>
 +
Создаем каталог для новой папки:<br>
 +
sudo mkdir /var/www/telegram<br>
 +
Задаем права на созданный каталог:<br>
 +
sudo chmod 777 /var/www/telegram<br>
 +
Для применения настроек перезапускаем samba:<br>
 +
sudo systemctl restart smbd<br>
 +
Проверяем возможность работы с новым каталогом.<br>
 +
На сервере СЭД добавляем строку в конец файла fstab, меняя password на созданный пароль<br>
 +
sudo nano /etc/fstab<br>
 +
//192.168.123.103/telegram/storage/outbox /var/www/sed-citis/storage/exchange/telegram/outbox cifs user=telegra,pass=password,iocharset=utf8,noperm,uid=www-data,gid=www-data,dir_mode=0777,file_mode=0777,auto 0 0<br>
 +
Далее монтируем<br>
 +
sudo mount -a<br>
 +
Если ошибка mount error(95): Operation not supported<br>
 +
То необходимо изменить строку<br>
 +
sudo nano /etc/fstab<br>
 +
//192.168.123.103/telegram/storage/outbox /var/www/sed-citis/storage/exchange/telegram/outbox cifs user=telegra,pass=password,iocharset=utf8,vers=2.0,noperm,uid=www-data,gid=www-data,dir_mode=0777,file_mode=0777,auto 0 0<br>
 +
'''Создание сертификата'''<br>
 +
Сайт, для которого вы хотите создать SSL сертификат должен уже быть доступен без HTTPS на порту 80. Поэтому его виртуальный хост Apache должен уже быть настроен. В этом примере я буду получать сертификат для edu.citis.ru. Для примера можно создать такой виртуальный хост:<br>
 +
sudo nano /etc/apache2/sites-available/edu-citis-ru.conf<br>
 +
<VirtualHost *:80><br>
 +
ServerName edu.citis.ru<br>
 +
ServerAlias www.edu.citis.ru<br>
 +
ServerAdmin webmaster@localhost<br>
 +
DocumentRoot /var/www/<br>
 +
ErrorLog ${APACHE_LOG_DIR}/error.log<br>
 +
CustomLog ${APACHE_LOG_DIR}/access.log combined<br>
 +
RewriteEngine on<br>
 +
RewriteCond %{SERVER_NAME} =edu.citis.ru [OR]<br>
 +
RewriteCond %{SERVER_NAME} =www.edu.citis.ru<br>
 +
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]<br>
 +
</VirtualHost><br>
 +
Выходим сохраняя изменения.<br>
 +
Клиент Lets Encrypt называется Certbot. Он доступен в официальных репозиториях. Для установки выполните такие команды:<br>
 +
sudo apt install certbot python-certbot-apache<br>
 +
Если последний пакет не найдется надо ставить python3-certbot-apache<br>
 +
Далее генерируем сертификат<br>
 +
sudo certbot certonly --apache -d edu.citis.ru -d www.edu.citis.ru<br>
 +
При первом запуске утилита предложит вам указать ваш Email адрес, для того чтобы отправлять вам уведомления о необходимости обновить сертификат и новости, а также попросит принять лицензионное соглашение.<br>
 +
А потом спросит можно ли передать ваш адрес их партнёрам. Ответить No. Только после этого начнётся генерация сертификата<br>
 +
Программа сообщает, что сертификат сохранён в папке /etc/letsencrypt/live/edu.citis.ru/ и вы можете его использовать.<br>
 +
Если вы посмотрите в папку /etc/letsencrypt/live/edu.citis.ru, то увидите там четыре файла:<br>
  
−
sudo systemctl enable smbd
+
cert.pem - файл сертификата, его необходимо прописать в параметре SSLCertificateFile;<br>
−
И проверим, что сервис запустился:
+
chain.pem - файл цепочки сертификата, обычно прописывается в параметре SSLCertificateChainFile;<br>
−
sudo systemctl status smbd
+
privkey.pem - приватный ключ сертификата, должен быть прописан в SSLCertificateKeyFile;<br>
−
Создадим пользователя для доступа к папке
+
fullchain.pem - в нём объединено содержимое cert.pem и chain.pem, можно использовать вместо этих обоих файлов.<br>
−
sudo useradd telegra
+
Необходимо файлы сгенерированные перенести в другую папку (до текущей папки нет доступа у апача)<br>
−
Назначим ему пароль
+
sudo mkdir /etc/apache/ssl<br>
−
sudo passwd telegra
+
sudo mv /etc/letsencrypt/live/edu.citis.ru/* /etc/apache/ssl/*<br>
−
Дважды введем пароль
+
Для обычного сайта у нас виртуальный хост существует. Осталось создать виртуальный хост для SSL версии. Тут кроме стандартных настроек надо добавить четыре параметра.<br>
−
Создадим пользователя в самбе
 
−
sudo smbpasswd -a telegra
 
−
Теперь создадим папку, доступ к которой будут иметь ограниченное количество пользователей.
 
−
Открываем конфигурационный файл samba:
 
−
sudo nano /etc/samba/smb.conf
 
−
Добавляем настройку для новой папки в конец файла, комментим строчки с принтерами (если они не нужны):
 
−
[telegram]
 
−
    comment = Private Folder
 
−
    path = /var/www/telegram
 
−
    public = no
 
−
    writable = no
 
−
    read only = yes
 
−
    guest ok = no
 
−
    valid users = admin, telegra
 
−
    write list = admin, telegra
 
−
    create mask = 0777
 
−
    directory mask = 0777
 
−
    force create mode = 0777
 
−
    force directory mode = 0777
 
−
    inherit owner = yes
 
−
* стоит обратить внимание на следующие настройки:
 
−
path = /data/private — используем новый путь до папки.
 
−
writable = no и read only = yes — в данном примере мы разрешим запись в каталог только некоторым пользователям. Поэтому общие настройки, разрешающие запись в папку, должны быть запрещены.
 
−
valid users — список пользователей, которым разрешено подключаться к каталогу. В данном примере разрешения работают для пользователей admin, telegra, а также для всех, кто входим в группу privateusers.
 
−
write list — список пользователей, которые имеют доступ к папке на чтение и запись. В данном примере мы разрешаем это только для пользователей admin и telegra.
 
−
inherit owner — опция позволяем включить наследование владельца при создании папок и файлов.
 
−
* если мы хотим, чтобы доступ к каталогу был полный у определенных пользователей (без разделения на тех, кто может только читать и тех, кто может также писать в папку), то опцию write list можно не указывать, а опции writable и read only оставить как в примерах выше.
 
−
Создаем каталог для новой папки:
 
−
sudo mkdir /var/www/telegram
 
−
Задаем права на созданный каталог:
 
−
sudo chmod 777 /var/www/telegram
 
−
Для применения настроек перезапускаем samba:
 
−
sudo systemctl restart smbd
 
−
Проверяем возможность работы с новым каталогом.
 
−
На сервере СЭД добавляем строку в конец файла fstab, меняя password на созданный пароль
 
−
sudo nano /etc/fstab
 
−
//192.168.123.103/telegram/storage/outbox /var/www/sed-citis/storage/exchange/telegram/outbox cifs user=telegra,pass=password,iocharset=utf8,noperm,uid=www-data,gid=www-data,dir_mode=0777,file_mode=0777,auto 0 0
 
−
Далее монтируем
 
−
sudo mount -a
 
−
Если ошибка mount error(95): Operation not supported
 
−
То необходимо изменить строку
 
−
sudo nano /etc/fstab
 
−
//192.168.123.103/telegram/storage/outbox /var/www/sed-citis/storage/exchange/telegram/outbox cifs user=telegra,pass=password,iocharset=utf8,vers=2.0,noperm,uid=www-data,gid=www-data,dir_mode=0777,file_mode=0777,auto 0 0
 
−
'''Создание сертификата'''
 
−
Сайт, для которого вы хотите создать SSL сертификат должен уже быть доступен без HTTPS на порту 80. Поэтому его виртуальный хост Apache должен уже быть настроен. В этом примере я буду получать сертификат для edu.citis.ru. Для примера можно создать такой виртуальный хост:
 
−
sudo nano /etc/apache2/sites-available/edu-citis-ru.conf
 
−
<VirtualHost *:80>
 
−
ServerName edu.citis.ru
 
−
ServerAlias www.edu.citis.ru
 
−
ServerAdmin webmaster@localhost
 
−
DocumentRoot /var/www/
 
−
ErrorLog ${APACHE_LOG_DIR}/error.log
 
−
CustomLog ${APACHE_LOG_DIR}/access.log combined
 
−
RewriteEngine on
 
−
RewriteCond %{SERVER_NAME} =edu.citis.ru [OR]
 
−
RewriteCond %{SERVER_NAME} =www.edu.citis.ru
 
−
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
 
−
</VirtualHost>
 
−
Выходим сохраняя изменения.
 
−
Клиент Lets Encrypt называется Certbot. Он доступен в официальных репозиториях. Для установки выполните такие команды:
 
−
sudo apt install certbot python-certbot-apache
 
−
Если последний пакет не найдется надо ставить python3-certbot-apache
 
−
Далее генерируем сертификат
 
−
sudo certbot certonly --apache -d edu.citis.ru -d www.edu.citis.ru
 
−
При первом запуске утилита предложит вам указать ваш Email адрес, для того чтобы отправлять вам уведомления о необходимости обновить сертификат и новости, а также попросит принять лицензионное соглашение.
 
−
А потом спросит можно ли передать ваш адрес их партнёрам. Ответить No. Только после этого начнётся генерация сертификата
 
−
Программа сообщает, что сертификат сохранён в папке /etc/letsencrypt/live/edu.citis.ru/ и вы можете его использовать.
 
−
Если вы посмотрите в папку /etc/letsencrypt/live/edu.citis.ru, то увидите там четыре файла:
 
  
−
cert.pem - файл сертификата, его необходимо прописать в параметре SSLCertificateFile;
+
SSLEngine on<br>
−
chain.pem - файл цепочки сертификата, обычно прописывается в параметре SSLCertificateChainFile;
+
SSLCertificateFile /путь/к/сертификату.pem<br>
−
privkey.pem - приватный ключ сертификата, должен быть прописан в SSLCertificateKeyFile;
+
SSLCertificateChainFile /путь/к/сертификату/цепочки.pem<br>
−
fullchain.pem - в нём объединено содержимое cert.pem и chain.pem, можно использовать вместо этих обоих файлов.
+
SSLCertificateKeyFile /путь/к/приватному/ключу.pem<br>
−
Необходимо файлы сгенерированные перенести в другую папку (до текущей папки нет доступа у апача)
 
−
sudo mkdir /etc/apache/ssl
 
−
sudo mv /etc/letsencrypt/live/edu.citis.ru/* /etc/apache/ssl/*
 
−
Для обычного сайта у нас виртуальный хост существует. Осталось создать виртуальный хост для SSL версии. Тут кроме стандартных настроек надо добавить четыре параметра.
 
  
−
SSLEngine on
+
Например:<br>
−
SSLCertificateFile /путь/к/сертификату.pem
 
−
SSLCertificateChainFile /путь/к/сертификату/цепочки.pem
 
−
SSLCertificateKeyFile /путь/к/приватному/ключу.pem
 
  
−
Например:
+
sudo nano /etc/apache2/sites-available/edu-citis-ru-ssl.conf<br>
  
−
sudo nano /etc/apache2/sites-available/edu-citis-ru-ssl.conf
+
<VirtualHost *:443><br>
−
 
+
ServerName edu.citis.ru<br>
−
<VirtualHost *:443>
+
ServerAlias www.edu.citis.ru<br>
−
ServerName edu.citis.ru
+
ServerAdmin webmaster@localhost<br>
−
ServerAlias www.edu.citis.ru
+
DocumentRoot /var/www/<br>
−
ServerAdmin webmaster@localhost
+
ErrorLog ${APACHE_LOG_DIR}/error.log<br>
−
DocumentRoot /var/www/
+
CustomLog ${APACHE_LOG_DIR}/access.log combined<br>
−
ErrorLog ${APACHE_LOG_DIR}/error.log
+
SSLEngine on<br>
−
CustomLog ${APACHE_LOG_DIR}/access.log combined
+
SSLCertificateFile /etc/letsencrypt/live/edu.citis.ru/cert.pem<br>
−
SSLEngine on
+
SSLCertificateChainFile /etc/letsencrypt/live/edu.citis.ru/chain.pem<br>
−
SSLCertificateFile /etc/letsencrypt/live/edu.citis.ru/cert.pem
+
SSLCertificateKeyFile /etc/letsencrypt/live/edu.citis.ru/privkey.pem<br>
−
SSLCertificateChainFile /etc/letsencrypt/live/edu.citis.ru/chain.pem
+
</VirtualHost><br>
−
SSLCertificateKeyFile /etc/letsencrypt/live/edu.citis.ru/privkey.pem
+
Этой конфигурации достаточно чтобы всё заработало. Затем активируйте этот виртуальный хост:<br>
−
</VirtualHost>
+
sudo a2ensite edu-citis-ru-ssl<br>
−
Этой конфигурации достаточно чтобы всё заработало. Затем активируйте этот виртуальный хост:
+
И не забудьте включить модуль для поддержки SSL:<br>
−
sudo a2ensite edu-citis-ru-ssl
+
sudo a2enmod ssl<br>
−
И не забудьте включить модуль для поддержки SSL:
+
Проверьте работоспособность открыв домен в браузере.<br>
−
sudo a2enmod ssl
+
Чтобы добавить больше безопасности можно указать какие протоколы SSL следует использовать. Например, для того чтобы отключить SSLv2 и SSLv3, а также TLS ниже 1.2 добавьте:<br>
−
Проверьте работоспособность открыв домен в браузере.
+
sudo nano /etc/apache2/sites-available/edu-citis-ru-ssl.conf<br>
−
Чтобы добавить больше безопасности можно указать какие протоколы SSL следует использовать. Например, для того чтобы отключить SSLv2 и SSLv3, а также TLS ниже 1.2 добавьте:
+
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1<br>
−
sudo nano /etc/apache2/sites-available/edu-citis-ru-ssl.conf
 
−
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1
 

Версия 08:54, 31 августа 2022

Установка на Ubuntu 16.04.3 и выше
Установить на сервере-шлюзе Samba
sudo apt-get install samba
Разрешаем автостарт сервиса:
sudo systemctl enable smbd
И проверим, что сервис запустился:
sudo systemctl status smbd
Создадим пользователя для доступа к папке
sudo useradd telegra
Назначим ему пароль
sudo passwd telegra
Дважды введем пароль
Создадим пользователя в самбе
sudo smbpasswd -a telegra
Теперь создадим папку, доступ к которой будут иметь ограниченное количество пользователей.
Открываем конфигурационный файл samba:
sudo nano /etc/samba/smb.conf
Добавляем настройку для новой папки в конец файла, комментим строчки с принтерами (если они не нужны):
[telegram]

   comment = Private Folder

   path = /var/www/telegram

   public = no

   writable = no

   read only = yes

   guest ok = no

   valid users = admin, telegra

   write list = admin, telegra

   create mask = 0777

   directory mask = 0777

   force create mode = 0777

   force directory mode = 0777

   inherit owner = yes
  • стоит обратить внимание на следующие настройки:

path = /data/private — используем новый путь до папки.
writable = no и read only = yes — в данном примере мы разрешим запись в каталог только некоторым пользователям. Поэтому общие настройки, разрешающие запись в папку, должны быть запрещены.
valid users — список пользователей, которым разрешено подключаться к каталогу. В данном примере разрешения работают для пользователей admin, telegra, а также для всех, кто входим в группу privateusers.
write list — список пользователей, которые имеют доступ к папке на чтение и запись. В данном примере мы разрешаем это только для пользователей admin и telegra.
inherit owner — опция позволяем включить наследование владельца при создании папок и файлов.

  • если мы хотим, чтобы доступ к каталогу был полный у определенных пользователей (без разделения на тех, кто может только читать и тех, кто может также писать в папку), то опцию write list можно не указывать, а опции writable и read only оставить как в примерах выше.

Создаем каталог для новой папки:
sudo mkdir /var/www/telegram
Задаем права на созданный каталог:
sudo chmod 777 /var/www/telegram
Для применения настроек перезапускаем samba:
sudo systemctl restart smbd
Проверяем возможность работы с новым каталогом.
На сервере СЭД добавляем строку в конец файла fstab, меняя password на созданный пароль
sudo nano /etc/fstab
//192.168.123.103/telegram/storage/outbox /var/www/sed-citis/storage/exchange/telegram/outbox cifs user=telegra,pass=password,iocharset=utf8,noperm,uid=www-data,gid=www-data,dir_mode=0777,file_mode=0777,auto 0 0
Далее монтируем
sudo mount -a
Если ошибка mount error(95): Operation not supported
То необходимо изменить строку
sudo nano /etc/fstab
//192.168.123.103/telegram/storage/outbox /var/www/sed-citis/storage/exchange/telegram/outbox cifs user=telegra,pass=password,iocharset=utf8,vers=2.0,noperm,uid=www-data,gid=www-data,dir_mode=0777,file_mode=0777,auto 0 0
Создание сертификата
Сайт, для которого вы хотите создать SSL сертификат должен уже быть доступен без HTTPS на порту 80. Поэтому его виртуальный хост Apache должен уже быть настроен. В этом примере я буду получать сертификат для edu.citis.ru. Для примера можно создать такой виртуальный хост:
sudo nano /etc/apache2/sites-available/edu-citis-ru.conf
<VirtualHost *:80>
ServerName edu.citis.ru
ServerAlias www.edu.citis.ru
ServerAdmin webmaster@localhost
DocumentRoot /var/www/
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
RewriteEngine on
RewriteCond %{SERVER_NAME} =edu.citis.ru [OR]
RewriteCond %{SERVER_NAME} =www.edu.citis.ru
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
</VirtualHost>
Выходим сохраняя изменения.
Клиент Lets Encrypt называется Certbot. Он доступен в официальных репозиториях. Для установки выполните такие команды:
sudo apt install certbot python-certbot-apache
Если последний пакет не найдется надо ставить python3-certbot-apache
Далее генерируем сертификат
sudo certbot certonly --apache -d edu.citis.ru -d www.edu.citis.ru
При первом запуске утилита предложит вам указать ваш Email адрес, для того чтобы отправлять вам уведомления о необходимости обновить сертификат и новости, а также попросит принять лицензионное соглашение.
А потом спросит можно ли передать ваш адрес их партнёрам. Ответить No. Только после этого начнётся генерация сертификата
Программа сообщает, что сертификат сохранён в папке /etc/letsencrypt/live/edu.citis.ru/ и вы можете его использовать.
Если вы посмотрите в папку /etc/letsencrypt/live/edu.citis.ru, то увидите там четыре файла:

cert.pem - файл сертификата, его необходимо прописать в параметре SSLCertificateFile;
chain.pem - файл цепочки сертификата, обычно прописывается в параметре SSLCertificateChainFile;
privkey.pem - приватный ключ сертификата, должен быть прописан в SSLCertificateKeyFile;
fullchain.pem - в нём объединено содержимое cert.pem и chain.pem, можно использовать вместо этих обоих файлов.
Необходимо файлы сгенерированные перенести в другую папку (до текущей папки нет доступа у апача)
sudo mkdir /etc/apache/ssl
sudo mv /etc/letsencrypt/live/edu.citis.ru/* /etc/apache/ssl/*
Для обычного сайта у нас виртуальный хост существует. Осталось создать виртуальный хост для SSL версии. Тут кроме стандартных настроек надо добавить четыре параметра.

SSLEngine on
SSLCertificateFile /путь/к/сертификату.pem
SSLCertificateChainFile /путь/к/сертификату/цепочки.pem
SSLCertificateKeyFile /путь/к/приватному/ключу.pem

Например:

sudo nano /etc/apache2/sites-available/edu-citis-ru-ssl.conf

<VirtualHost *:443>
ServerName edu.citis.ru
ServerAlias www.edu.citis.ru
ServerAdmin webmaster@localhost
DocumentRoot /var/www/
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/edu.citis.ru/cert.pem
SSLCertificateChainFile /etc/letsencrypt/live/edu.citis.ru/chain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/edu.citis.ru/privkey.pem
</VirtualHost>
Этой конфигурации достаточно чтобы всё заработало. Затем активируйте этот виртуальный хост:
sudo a2ensite edu-citis-ru-ssl
И не забудьте включить модуль для поддержки SSL:
sudo a2enmod ssl
Проверьте работоспособность открыв домен в браузере.
Чтобы добавить больше безопасности можно указать какие протоколы SSL следует использовать. Например, для того чтобы отключить SSLv2 и SSLv3, а также TLS ниже 1.2 добавьте:
sudo nano /etc/apache2/sites-available/edu-citis-ru-ssl.conf
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

Источник — «http://edu.citis.ru/userguide/index.php?title=Установка_сервера_telegram&oldid=927»