Beiträge von kk

Zitat von rob

Wird dann der fix zum entfernen der Dupletten aus der "accesslog.map"-Datei doch nicht in der 2.5.0 erscheinen? Wann ist es geplant?

Dieser Bugfix ist noch einer der Showstopper für v2.5.0, kommt also auf jeden Fall noch in dieses Release.

Das ist insbesondere für Multi-Server-Setups konzipiert (Single-Server ist dann nur eine "Vereinfachung" davon)

Wir sind bereits mitten in der Umsetzung. Backups können künftig wahlweise auf dem Server verbleiben (mit Begrenzung der Anzahl der Backups) oder heruntergeladen werden.
Wir geben die Funktion schrittweise nach Fertigstellung frei (zuerst Webspace, dann Datenbanken, zuletzt E-Mails).

Die Preview wurde eben auf v2.5.0-r4690 aktualisiert.
Darin sind die mit der letzten Preview gemeldeten Fehler behoben, sowie folgende neue Funktionen dazu gekommen:

• Unterstützung von HTTP/2 mit Apache 2.4.17+ und NGINX 1.9.5+
  (kann also ab Debian 9 und Ubuntu 16 genutzt werden)
• verbesserte OCSP-Konfiguration mit Apache 2.3.3+
  (die bisherige Konfiguration war in vielen Fällen wirkungslos, außer man hatte ein Default-SSL-Zertifikat mit gültiger OCSP-URL eingerichtet)

Die Korrektur an den OCSP-Einstellungen wird während des Upgrades automatisch an /etc/apache2/sites-available/000-default.conf vorgenommen.

Um HTTP/2 verwenden zu können muss bei Apache erst das Modul "mod_http2" aktiviert werden (Befehl: "a2enmod http2"). Das aktualisierte LiveConfig-Meta-Paket macht das künftig bei Neuinstallationen automatisch. Wenn mod_http2 zwar vorhanden, aber nicht installiert ist, wird das in der Liste der Apache-Module (Serververwaltung -> Web) entsprechend angezeigt.
HTTP/2 muss zudem separat für die gewünschten IP-Gruppen aktiviert werden (also einfach IP-Gruppe bearbeiten und Checkbox anhaken). SSL und HTTP/2 sind künftig für neue IP-Gruppen standardmäßig aktiviert.
Mit dem Speichern der IP-Gruppen werden alle betroffenen Apache vHosts automatisch aktualisiert - nach spätestens 60 Sekunden kann man das also testen, z.B. unter https://tools.keycdn.com/http2-test

Viele Grüße

-Klaus Keppler

Welches Repository genau haben Sie konfiguriert? (/etc/apt/sources.list.d/liveconfig.list), und welche Distribution verwenden Sie (Xenial oder Jessie)? Das geht aus dem Posting leider beides nicht hervor.

Im Test-Repo (debian-test) gab es mit PHP 7.0 ein Problem, das inzwischen aber behoben sein sollte.

Wir haben nun auch PHP 7.0 für Stretch und Wheezy aktualisiert. Falls es noch irgendwo hakt, bitte kurz melden.

Ok, so wie es aussieht war im Test-Repo zwischenzeitlich das PHP-7.0-Paket für Stretch in das Jessie-Verzeichnis gerutscht. APT aktualisiert die Abhängigkeiten aber nicht so lange sich die Versionsnummer nicht ändert.
Damit das Test-Repo wieder korrekt funktioniert, haben wir das PHP-Paket für Jessie "aktualisiert" (auf 7.0.23-2+jessie1). Es hat sich aber effektiv nur die Versionsnummer geändert, sonst nichts.

Zitat von TCRserver

Bei unserem Test System (Debian Jessie) will er PHP7.0-OPT deinstallieren weil eine Abhängigkeit zu libicu55 und libjpeg8 nicht erfüllt ist.

Das klingt eher so, als wäre für PHP das Stretch-Repository ausgewählt.
Was genau steht bei Ihnen in /etc/apt/sources.list.d/liveconfig.list ?

Hallo,

ab sofort steht eine erste Preview-Version von LiveConfig v2.5.0 bereit.

Eine leider recht zeitraubende Änderung hat komplett "unter der Haube" stattgefunden: die verwendete OpenSSL-Bibliothek wurde von v1.0.2 auf v1.1.0 aktualisiert. Auch wenn das nicht nach viel Arbeit klingt, durch viele inkomplatible und häufig undokumentierte API-Änderungen benötigte das viel Zeit.

Aber nun zu den neuen Features:

• für SSL-Zertifikate wird neben RSA nun auch ECDSA unterstützt (natürlich auch mit Let's Encrypt). Wir haben lange überlegt, ob eine Dual-Konfiguration sinnvoll und notwendig ist, und uns am Ende aufgrund der ziemlich komplexen Konfiguration und noch schwierigeren Fehlersuche im Problemfall dagegen entschieden. Moderne Browser kommen mit ECDSA bestens zurecht (Cloudflare verwendet inzwischen fast ausschließlich ECDSA).
• in der Schnellsuche (Eingabefeld ganz oben rechts) kann nun in der Ergebnisliste über ein per "hover"-Effekt sichtbares Icon direkt eine Session in den entsprechenden Kundenvertrag gestartet werden (spart mind. zwei Mausklicks)
• bei eigenen DNS-Einträgen können nun auch die zunehmend an Bedeutung gewinnenden CAA-Records angelegt werden. Das klappt auch mit "alten" BIND-Servern (ist abwärtskompatibel). Allerdings macht LiveConfig derzeit noch keine Syntaxprüfung für diesen Record, bis zum Release von v2.5.0 kommt das noch.
• wenn eine LiveConfig-Installation aktualisiert wird, dann wird gleichzeitig der neue GPG-Schlüssel für das LiveConfig-Repository installiert (der aktuelle GPG-Schlüssel läuft zum 05.11.2017 ab, wir planen ab dem 01.11. die Repositories und alle Pakete mit dem neuen Schlüssel zu signieren und bereiten deshalb mit diesem Update den Key-Rollover vor)
• Single Sign-On für phpMyAdmin
  Unter https://github.com/LiveConfig/pma-sso stellen wir ein Script bereit, das in eine phpMyAdmin-Installation kopiert werden kann und damit ab LiveConfig v2.5.0 ein Single Sign-On aus LiveConfig heraus erlaubt.
  Im Prinzip ist auf der GitHub-Seite alles im Detail dokumentiert. Wichtig ist, dass in diesem Fall die MySQL-Passwörter dauerhaft in LiveConfig gespeichert bleiben müssen (natürlich verschlüsselt), und dass die Passwörter nicht über den Browser an phpMyAdmin übermitelt werden (das macht unser "Plug-In").

Weitere Features befinden sich gerade noch im Test, Updates folgen also noch.

Viele Grüße

-Klaus Keppler

Zitat von taenzerme

Wie bringe ich LiveConfig denn PHP-FPM bei, u.a. in Verbindung mit nginx?

Das ist derzeit noch nicht möglich (zumindest nicht ohne massiv die Lua-Funktionen umzubiegen).
Was Apache betrifft bietet FPM keinen nennenswerten Vorteil gegenüber FastCGI (eher im Gegenteil).
Für NGINX macht FPM Sinn, da NGINX keine dynamischen Worker-Pools realisieren kann. Hier fehlt seitens LiveConfig aber noch die entsprechende Konfigurationsmöglichkeit.
Das Thema steht auf der ToDo-Liste, einen Termin kann ich aber noch nicht nennen.

Zitat

P.S: Tut sich bei LiveConfig grundsätzlich noch etwas? Das letzte Update ist auch bereits etwas her und ich warte immer noch auf die individuellen SpamAssassin-Einstellungen, die mit 2.4.2 Preview angekündigt wurden - das war am 17. Juli :-/

v2.4.2 wird quasi übersprungen, das nächste Release trägt die Nummer v2.5.0.
Und es hat sich eine ganze Menge getan - alle Details finden sich dann im Changelog.

Serververwaltung -> Web -> IP-Adressen -> (IP-Gruppe bearbeiten). Dort in der DropDown-Box die SSL-Server-Chiffren auf "kompatibel" setzen.

/usr/lib/liveconfig/lua/cron.lua - in Zeile 48 müsste dann so etwas rein wie

fh:write("SHELL=/usr/local/bin/jailshell.sh\n")

Wir werden dafür einfach eine Variable definieren, die man dann optional per custom.lua setzen kann.

Das hat weniger mit LiveConfig zu tun, sondern ist vielmehr allgemein ein Problem mit Jail-Umgebungen.
Auch wenn man das mit Cronjobs in den Griff bekommt, die nächste Lücke wartet bestimmt. Etwa ein Bug in PHP, der open_basedir (mal wieder) umgehen lässt. Oder ein lokaler Kernel-Exploit, der einen Ausbruch aus der chroot-Umgebung erlaubt.
Grundsätzlich sollten Dateien in /etc/ (und nicht nur dort) so abgesichert sein, dass nur authorisierte Benutzer diese lesen dürfen. LiveConfig erzeugt (fast?) alle Konfigurationsdateien bewusst nicht "world-readable". Ich möchte sogar behaupten, dass es keine von LiveConfig erzeugte Datei in /etc/ gibt, die "sensible" Informationen enthält und die irgendein Web-User lesen darf (einzige Ausnahme: /etc/passwd).
SELinux wäre ein prima Ansatz, nur ist das leider so scharf dass ein "normales" Shared Hosting damit praktisch nicht möglich ist.
Eine andere Idee (quasi Weiterentwicklung von SSH-Jails) wäre das CageFS von CloudLinux (mehr dazu demnächst).

Zum aktuellen Cron-Thema: man kann in Crontabs über die Umgebungsvariable PATH= einstellen, mit welcher Shell die Prozesse ausgeführt werden. Eine erste Idee (ungetestet!) wäre, hier ein Wrapperscript festzulegen, welches die eigentliche Shell dann in der Jail des jeweiligen Kunden startet.
(sollte ja genügen, die Shell aus /etc/passwd auszulesen... warum macht Cron das eigentlich nicht selbst?)
Falls das hilft, wäre es für uns keine große Sache, die Erstellung der crontab-Datei entsprechend zu "patchen", damit LiveConfig die PATH=...-Angabe fest in jede Crontab einbaut.

Viele Grüße

-Klaus Keppler

Hello,

the PHP packages for Debian were updated to version 7.0.23 and 7.1.9.

Additionally, we now have a PHP 7.1.9 package for Ubuntu 16.04 LTS. More PHP versions and PHP extensions for Ubuntu 16 will follow within the next days.

We do NOT plan to build PHP packages for Ubuntu 17.x, we focus only on the LTS versions.

Best regards

-Klaus Keppler

Hallo,

die PHP-Pakete für Debian wurden eben auf die Versionen 7.0.23 und 7.1.9 aktualisiert.

Außerdem steht ab sofort PHP 7.1.9 auch für Ubuntu 16.04 LTS zum Download bereit. Weitere PHP-Versionen und -Erweiterungen für Ubuntu 16 folgen in den nächsten Tagen.

PHP-Pakete für Ubuntu 17.x sind derzeit NICHT geplant, wir fokussieren uns auf die LTS-Versionen.

Viele Grüße

-Klaus Keppler

Das erste PHP-Paket für Ubuntu 16.04 steht ab sofort bereit (PHP 7.1.9), weitere Versionen und PHP-Module folgen in in den nächsten Tagen.

Viele Grüße

-Klaus Keppler

Zitat von kroerig

Was muss ich ändern, damit Dovecot die Aliases finden und auflösen kann.

Das ist praktisch nicht möglich. Dovecot weiß von den Aliasen nichts, weil diese als Mail-Weiterleitungen in Postfix konfiguriert sind (/etc/postfix/virtual_alias).

Viele Grüße

-Klaus Keppler

Zitat von aziegler

Wir machen das übrigens über DigitalOcean Droplets. Mittels API laufen die dann jeweils unter einer Stunde, macht nur ein paar Kröten pro Monat.

Ja, so etwas ist durchaus attraktiv.
Bei uns löst jeder Commit einen Testbuild auf allen unterstützten Distributionen in allen unterstützten Versionen aus - je nach Aktivität ist das durchaus mehrmals pro Stunde. Für die Entwicklung gibt es zudem nochmal separate vServer mit allen Distri-/Versions-Kombinationen (ich habe inzwischen aufgehört mit zu zählen), die in einem separaten VLAN hängen. Da ist eine "on premise"-Lösung etwas einfacher.

Wir haben letzte Woche einen weiteren Server in Betrieb genommen, auf dem dann auch PHP für Ubuntu gebaut wird. Das dauert aber ein wenig - da steckt noch ziemlich viel Arbeit drin.

Zitat von kroerig

Gleiches dürfte dann auch für die FTP-User gelten, oder?

Bei den Präfixen für FTP-User ist "%c" auch jetzt schon außerhalb des Anfangs erlaubt.

Zitat

Wann soll den dann die Final Version erscheinen?

Wenn sie fertig ist.
Es gab massive Änderungen am "Kernel" (u.a. Umstellung auf OpenSSL 1.1). Inzwischen laufen alle Tests stabil, das Stable-Release wird aber noch ein paar Wochen dauern (ein paar Features sind noch in Arbeit).
Ganz unverbindlich sage ich mal Anfang/Mitte September. Preview voraussichtlich ab nächster Woche.