docker – Как правильно настроить HTTPS для OnlyOffice –

Введение.

Сервер документов — это офисный пакет для работы онлайн, который включает в себя просмотр и редакторы текстовых документов, электронных таблиц и презентаций, полностью совместимые с форматами Office Open XML: .docx, .xlsx, .pptx и позволяющие совместно редактировать документы в режиме реального времени.

Функциональность

• Редактор документов;
• Редактор электронных таблиц;
• Редактор презентаций;
• Приложение «Документы» для iOS и Android;
• Совместное редактирование;
• Поддержка иероглифов;
• Поддержка всех популярных форматов: DOC, DOCX, TXT, ODT, RTF, ODP, EPUB, ODS, XLS, XLSX, CSV, PPTX, HTML.

В данной инструкции объясняется, как установить на компьютере версию Сервера документов для CentOS 7.

Если вы устанавливаете Сервер документов вне Docker, то он должен быть установлен отдельно от Nextcloud сервера, на другом сервере или на другой виртуальной машине.

Шаг 3 – убедитесь, что ваши данные хранятся вне контейнера docker

Мы не рекомендуем пропускать этот шаг, потому что хранение ваших данных вне контейнера Docker на вашей машине позволит вам легко обновить ONLYOFFICE Docs в будущем без потери ваших данных.

🐳 Как обмениваться данными между контейнером Docker и хост-системой с помощью томов

Все ваши данные (логи, сертификаты, файловый кэш и т.д.) хранятся в специальных каталогах, также известных как data volumes, в следующих местах:

• /var/log/onlyoffice – логи ONLYOFFICE;
• /var/www/onlyoffice/Data – сертификаты;
• /var/lib/onlyoffice – кэш файлов;
• /var/lib/postgresql – ваша база данных.

Чтобы получить доступ к данным, хранящимся вне контейнера Docker, необходимо смонтировать эти тома, добавив опцию -v в команду docker run:

sudo docker run -i -t -d -p 80:80 --restart=always 
    -v /app/onlyoffice/DocumentServer/logs:/var/log/onlyoffice  
    -v /app/onlyoffice/DocumentServer/data:/var/www/onlyoffice/Data  
    -v /app/onlyoffice/DocumentServer/lib:/var/lib/onlyoffice 
    -v /app/onlyoffice/DocumentServer/db:/var/lib/postgresql  onlyoffice/documentserver

Если вы смонтируете папки, которые еще не были созданы, они будут созданы в любом случае, но ваш доступ к ним будет ограничен.

Вам придется изменить права доступа к ним вручную.

. Проксирование Сервера документов ONLYOFFICE.

Всё хорошо работает до тех пор, пока мы не выберемся за пределы домашней сети, где имеется возможность добавлять сертификаты в доверительные.

Если поменять браузер или прийти в гости к другу, у которого более строгая политика относительно добавления всяких непонятных самоподписных сертификатов, то тут возникает ситуация, когда «что-то пошло не так»…

. Установка базовой аутентификации.

Для того чтобы посторонние люди не могли пользоваться вашим Сервером документов нужно установить базовую аутентификацию. Это простой метод аутентификации, при котором пользователям необходимо предоставить имя пользователя и пароль для доступа к файлам на вашем сервере.

. Ошибки и методы их исправления.

14.1. Ошибка подключения к Серверу документов.

Если у вас всё работало, а потом резко перестало, то, скорее всего, у вас закончился срок действия внутреннего или внешнего сертификата, системы ожидает подключения к Серверу документов, подключение не происходит и всё впадает в цикл.

Системные требования.

• Процессор: двухъядерный с тактовой частотой 2 ГГц или лучше;
• Оперативная память: не менее 2 Гб;
• Свободное место на жестком диске: не менее 40 Гб;
• Дополнительные требования: не менее 4 Гб для файла подкачки;
• Операционнаясистема:CentOS 7;
• Дополнительные требования:
  • PostgreSQL: версия 9.1 или выше;
  • NGINX: версия 1.3.13 или выше;
  • Redis;
  • RabbitMQ.

Установка зависимостей.

Обновим систему:

# sudo yum -y update

Удалим SELinux:

# sudo yum -y remove selinux*

Перезагрузим CentOS 7:

# reboot

Установим mc:

# sudo yum -y install mc

3.1. Установка актуальной версии пакетов Nginx.

# mcedit /etc/yum.repos.d/nginx.repo

Для настройки репозитория yum для CentOS 7 необходимо создать файл с именем /etc/yum.repos.d/nginx.repo и таким содержимым:

Установка Сервера документов.

4.1. Добавление репозитория Сервера документов.

Добавьте yum-репозиторий Сервера документов с помощью следующей команды:

Смена порта для Сервера документов, используемого по умолчанию.

По умолчанию Сервер документов слушает входящие соединения на 80 порту. Начиная с версии 4.3 вы можете сменить порт для Сервера документов в случае, если вы планируете использовать его вместо того, который идёт по умолчанию.

Внимание! Если вы меняете порт по умолчанию, убедитесь, что он открыт для исходящих/входящих соединений.

Посмотрите полный список портов, которые используются Сервером документов.

Для этого вам нужно отредактировать переменную окружения DS_PORT с помощью команды:

# export DS_PORT=<PORT_NUMBER>

Вместо <PORT_NUMBER> в команде выше необходимо вписать номер порта, который будет использоваться.

Настройка Сервера документов.

6.1. Скрипт автоконфигурации.

Запустите скрипт documentserver-configure.sh:

# bash documentserver-configure.sh

Вам будет предложено указать параметры подключения к PostgreSQL, Redis и RabbitMQ.

Используйте следующие данные:

Для PostgreSQL:

Для Redis:

Для RabbitMQ:

Вывод хода событий на экране:

6.2. Исключение межсетевого экрана — 80 порт.

Для firewalld:

# sudo firewall-cmd –zone=public –add-port=80/tcp –permanent# sudo firewall-cmd –reload

Для iptables добавить запись в конфигурационный файл:

# mcedit /etc/sysconfig/iptables

-A INPUT -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT

Сохраняем файл и перезапускаем iptables.

# sudo systemctl restart iptables

6.3. Проверка доступности.

Настройка файла конфигурации Nextcloud.

Теперь сообщим Nextcloud‘у, что мы создали для него Сервер документов и пригласим его им начать пользоваться.

Для этого откроем главный файл конфигурации Nextcloud — config.php, который находится в корневом каталоге в каталоге ./nextcloud/config. В зависимости от того, где у вас располагается сам каталог с Nextcloud системой.

Ищем в файле финальную точку с запятой и добавляем перед ней код:

'onlyoffice' =>
array (
'verify_peer_off' => TRUE,
),

Должно получиться примерно вот так:

... <-- что-то другое сверху.'onlyoffice' =>array ('verify_peer_off' => TRUE,),); <-- финальная точка с запятой.

Быстрый запуск nextcloud и onlyoffice на ubuntu ssl от letsencrypt

sudo apt-get install nano mc zip -y

# Ставим nfs-client
sudo apt install nfs-common -y
# -------------------
# Монтируем папку nfs# Ставим nginx
sudo mkdir -p /nfs/nc
sudo mount your_host_ip:/папка_шары_nfs/ /nfs/nc
sudo ls -l /nfs/nc/
sudo df -h
sudo du -sh /nfs/nc/
# -------------------
# Монтируем nfs при загрузке
sudo nano /etc/fstab
		# Добавим такую строку в конец файла
		your_host_ip:/папка_шары_nfs/  /nfs/nc  nfs auto,nofail,noatime,nolock,intr,tcp,actimeo=1800 0 0

sudo apt install nginx -y
sudo nginx -V
sudo systemctl enable nginx
sudo systemctl start nginx

sudo apt install php7.4-fpm php7.4-mysql php7.4 php7.4-curl php7.4-gd php7.4-json php7.4-mbstring php7.4-common php7.4-xml php7.4-zip php7.4-opcache php-apcu php-imagick -y

sudo systemctl enable php7.4-fpm
sudo systemctl restart php7.4-fpm

sudo apt install mariadb-server
sudo systemctl enable mariadb
sudo systemctl start mariadb

sudo mysql_secure_installation

sudo mysql -u root -p

 >
CREATE DATABASE nextcloud;
CREATE USER 'nextcloud'@'localhost' IDENTIFIED BY 'nextcloud';
GRANT ALL ON nextcloud.* TO 'nextcloud'@'localhost' IDENTIFIED BY 'nextcloud' WITH GRANT OPTION;
FLUSH PRIVILEGES;
EXIT;

sudo nano /etc/nginx/sites-enable/nextcloud.conf

server {
    listen 80;
    server_name nc.33rus.com;
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl;
    server_name nc.33rus.com;

    ssl_certificate /etc/nginx/ssl/cert.pem;
    ssl_certificate_key /etc/nginx/ssl/cert.key;

    root /var/www/nextcloud;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    client_max_body_size 10G;
    fastcgi_buffers 64 4K;

    rewrite ^/caldav(.*)$ /remote.php/caldav$1 redirect;
    rewrite ^/carddav(.*)$ /remote.php/carddav$1 redirect;
    rewrite ^/webdav(.*)$ /remote.php/webdav$1 redirect;

    index index.php;
    error_page 403 = /core/templates/403.php;
    error_page 404 = /core/templates/404.php;

    location = /robots.txt {
      allow all;
      log_not_found off;
      access_log off;
    }

    location ~ ^/(data|config|.ht|db_structure.xml|README) {
        deny all;
    }

    location / {
        rewrite ^/.well-known/host-meta /public.php?service=host-meta last;
        rewrite ^/.well-known/host-meta.json /public.php?service=host-meta-json last;
        rewrite ^/.well-known/carddav /remote.php/carddav/ redirect;
        rewrite ^/.well-known/caldav /remote.php/caldav/ redirect;
        rewrite ^(/core/doc/[^/] /)$ $1/index.html;
        try_files $uri $uri/ index.php;
    }

    location ~ ^(. ?.php)(/.*)?$ {
        try_files $1 = 404;
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $document_root$1;
        fastcgi_param PATH_INFO $2;
        fastcgi_param HTTPS on;
        fastcgi_pass unix:/run/php/php7.4-fpm.sock;
    }

    location ~* ^. .(jpg|jpeg|gif|bmp|ico|png|css|js|swf)$ {
        expires modified  30d;
        access_log off;
    }
}

sudo apt install certbot python3-certbot-nginx

sudo certbot certonly --agree-tos --email you@mail -d nc.myhost.com-d www.myhost.com -d zabbix.myhost.com --nginx --dry-run --d

sudo certbot certonly --agree-tos --email почта@администратора -d myhost.com-d nc.myhost.com-d cloud.myhost.com-d zabbix.myhost.com-d www.myhost.com-d mail.myhost.com sudo certbot certonly --agree-tos --email your@mail -d nc.myhost.com-d www.33rus.com  -d zabbix.33rus.com --nginx n 

sudo nano /etc/nginx/sites-available/nextcloud.conf

cd /tmp/
sudo wget https://download.nextcloud.com/server/releases/nextcloud-21.0.0.zip
sudo unzip nextcloud-21.0.0.zip
sudo cp -R nextcloud /var/www/nextcloud/
cd /var/www/
sudo chown -R www-data:www-data nextcloud/
sudo chown -R www-data:www-data /nfs/nc

sudo apt install memcached php-memcached -y
sudo apt install php-apcu redis-server php-redis -y
sudo nano /var/www/nextcloud/config/config.php

sudo -u www-data php /var/www/nextcloud/occ files:scan --all

sudo apt install postgresql -y

sudo -i -u postgres psql -c "CREATE DATABASE onlyoffice;"
sudo -i -u postgres psql -c "CREATE USER onlyoffice WITH password 'onlyoffice';"
sudo -i -u postgres psql -c "GRANT ALL privileges ON DATABASE onlyoffice TO onlyoffice;"

sudo apt install rabbitmq-server -y
sudo apt install nginx-extras -y

sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys CB2DE8E5

sudo echo "deb https://download.onlyoffice.com/repo/debian squeeze main" | sudo tee /etc/apt/sources.list.d/onlyoffice.list 
sudo apt update

sudo apt install mariadb-client -y

sudo apt install onlyoffice-documentserver -y

sudo cp -f /etc/onlyoffice/documentserver/nginx/ds-ssl.conf.tmpl /etc/onlyoffice/documentserver/nginx/ds.conf
sudo nano /etc/onlyoffice/documentserver/nginx/ds.conf  

sudo service nginx restart

sudo crontab -u www-data -e

Генерация самоподписанных сертификатов

Генерация самоподписанных SSL-сертификатов включает в себя три простых шага:

Доступные параметры настройки

Ниже приводится полный список параметров, которые можно настроить, используя переменные среды.

Предпосылки

• ОС – Ubuntu CentOS 7 64-разрядный сервер с ядром 3.13 или позже
• RAM – 2 ГБ или более – мы будем использовать 4 ГБ
• Жесткий диск – по крайней мере 2 ГБ свободного пространства

Усиление безопасности сервера

В этом разделе приводятся инструкции по усилению безопасности вашего сервера.

Для этого необходимо сгенерировать параметры Диффи-Хеллмана (DHE), обеспечивающие более высокую стойкость.

openssl dhparam -out dhparam.pem 2048

Шаг 1 – установите docker

Для установки ONLYOFFICE Docs необходимо, чтобы на вашей машине был установлен Docker.

Если вы хотите установить и настроить последнюю версию Docker, вы можете обратиться к следующим руководствам:

Шаг 1 – установка репозиторий epel и подготовка ос

На этом шаге мы установим сторонний репозиторий CentOS Epel (Дополнительные Пакеты для Предприятия Linux) репозиторий к системе. Установите репозиторий Epel со вкусной командой ниже.

yum -y install epel-release

И для установки Сервера Документа ONLYOFFICE, мы должны отключить SELinux (Улучшенный Безопасностью Linux) путем редактирования конфигурационного файла ‘/etc/sysconfig/selinux’.

Отключите SELinux путем редактирования файла конфигурации с энергией.

vim /etc/sysconfig/selinux

Измените значение ‘selinux’ на ‘отключенный’.

selinux=disabled

Сохраните и выйдите, затем перезагрузите сервер.

Если все завершено, войдите в систему снова к серверу и проверьте состояние SELinux с командой ‘sestatus’.

sestatus

Удостоверьтесь, что результат ‘отключен’.

Шаг 1: создайте закрытый ключ сервера

openssl genrsa -out onlyoffice.key 2048

Шаг 10 – настраивает firewalld

Если у Вас нет Firewalld на Вашем сервере, установите его с командой ниже.

yum -y install firewalld

После того, как установка завершена, запустите ее и добавьте его для выполнения автоматически во время начальной загрузки.

systemctl start firewalld
systemctl enable firewalld

Шаг 2 – устанавливает и настраивает postgresql

Сервер Документа может быть установлен с базой данных MySQL и PostgreSQL. И в этом учебном руководстве, мы будем использовать PostgreSQL вместо MySQL. База данных PostgreSQL установки из репозитория со вкусной командой.

yum -y install postgresql.x86_64 postgresql-server.x86_64 postgresql-contrib.x86_64

После того, как установка завершена, мы должны инициализировать базу данных впервые рабочей установкой пост-ГРЭС ниже.

postgresql-setup initdb

Теперь запустите PostgreSQL и позвольте ему выполнить запуск автоматически при начальной загрузке системы.

systemctl start postgresql
systemctl enable postgresql

База данных PostgreSQL будет работать на localhost IP-адресе с портом по умолчанию 5432 – проверяют его с командой netstat.

netstat -plntu

Затем, мы должны отредактировать файл аутентификации Пост-ГРЭС pg_hba.conf с энергией.

vim /var/lib/pgsql/data/pg_hba.conf

Измените метод аутентификации для localhost от ‘ident’ для ‘доверения’ как ниже. Это для разрешения аутентификации от локального сервера.

host   all            all            127.0.0.1/32           trust
host   all            all            ::1/128                trust

Сохраните и выйдите, затем перезапустите услуги PostgreSQL.

systemctl restart postgresql

Установка PostgreSQL и конфигурация были завершены.

Шаг 2: создайте запрос подписи сертификата (csr)

openssl req -new -key onlyoffice.key -out onlyoffice.csr

Шаг 3 – создает базу данных для сервера документа onlyoffice

PostgreSQL был установлен на системе, и мы создадим новую базу данных и нового пользователя для установки Сервера Документа ONLYOFFICE.

Войдите в систему пользователя ‘пост-ГРЭС’ и получите доступ к инструменту командной строки пост-ГРЭС ‘psql’.

su – postgres
psql

Пароль пост-ГРЭС изменения с Вашим собственным паролем и не использует и легкий пароль по умолчанию.

password postgres
Enter new password:

Затем, создайте новую базу данных, названную ‘onlyoffice‘ с именем пользователя ‘onlyoffice‘, и пароль ‘onlyoffice123’.

Создайте все это рабочими запросами пост-ГРЭС ниже.

Шаг 3: подпишите сертификат с помощью закрытого ключа и csr

openssl x509 -req -days 365 -in onlyoffice.csr -signkey onlyoffice.key -out onlyoffice.crt

Вы только что сгенерировали SSL-сертификат со сроком действия 365 дней.

Шаг 5 – тестирование onlyoffice docs

Кроме того, перед интеграцией ONLYOFFICE Docs со сторонним файлообменным решением вы можете протестировать функциональность редакторов.

Для этого вам необходимо запустить тестовый пример, представляющий собой простую систему управления документами.

По умолчанию тестовый пример отключен, но вы можете увидеть инструкции по его включению на стартовом экране.

Шаг 5 – устанавливает сервер redis

Redis является базой данных в оперативной памяти, персистентной на диске. Используемые данные в виде пар “ключ-значение” хранят для кэширования, и это – открытый исходный код. Установкой Сервера Документа является требуемый Redis для кэширования памяти. Установите Redis из репозитория со вкусной командой ниже.

yum -y install redis

После того, как установка завершена, запустите ее и позвольте ей работать автоматически во время начальной загрузки.

systemctl start redis
systemctl enable redis

По умолчанию советы будут работать под localhost IP-адресом с портом 6379. Проверьте состояние состояния порта с командой netstat и удостоверьтесь, что состояние состояния, ‘СЛУШАЮТ’.

netstat -plntu

Сервер Redis установлен на сервере теперь.

Шаг 6 – устанавливает и настраивает сервер rabbitmq

RabbitMQ является программным обеспечением брокера сообщений с открытым исходным кодом, которое реализует AMQP (Усовершенствованный Протокол Организации очередей сообщений). Это записано на языке Erlang, может быть установлен для кластеризации и обработки отказа.

RabbitMQ требуется Сервером Документа, и мы должны установить его на системе со вкусной командой.

yum -y install rabbitmq-server

После того, как установка завершена, настройте сервер RabbitMQ для выполнения только на localhost путем создания нового конфигурационного файла ‘rabbitmq-env.conf’ в rabbitmq каталоге.

vim /etc/rabbitmq/rabbitmq-env.conf

Конфигурация вставки ниже.

export RABBITMQ_NODENAME=rabbit@localhost
 export RABBITMQ_NODE_IP_ADDRESS=127.0.0.1
 export ERL_EPMD_ADDRESS=127.0.0.1

Сохраните и выйдите.

Запустите Сервер RabbitMQ и позвольте ему запуститься автоматически каждый раз при начальной загрузке системы.

systemctl start rabbitmq-server
systemctl enable rabbitmq-server

Проверьте установку RabbitMQ и конфигурацию, проверьте его с командой netstat, и Вы будете видеть, что сервер RabbitMQ работает под localhost IP-адресом с портом 5672.

netstat -plntu

Затем, мы должны создать нового rabbitmq пользователя для конфигурации Сервера Документа ONLYOFFICE. Создайте нового пользователя onlyoffice с паролем onlyoffice123 с командами rabbitmqctl ниже.

Шаг 7 – устанавливает и настраивает сервер документа onlyoffice

Прежде чем мы сделаем установку Сервера Документа, мы обязаны устанавливать установщик шрифта Microsoft и добавлять новый последний репозиторий Nginx.

Установка ‘установщик шрифтов Microsoft’ со вкусной командой ниже.