Pular para o conteúdo principal

Configurações recomendadas para CloudPanel

ivan@ivancarlos.com.br
Atualizado

Desativação de serviços não utilizados:

MariaDB

  • É o serviço de banco de dados padrão do CloudPanel, compatível com instruções MySQL
  • Desative-o caso não utilize esse banco de dados
sudo systemctl disable mariadb --now

PHP.FPM

  • São os serviços que permitem execução de aplicações PHP
  • Desative-os caso não utilize aplicações PHP, pode-se desativar apenas as versões não utilizadas. Sites PHP utilizam PHP 8.0 como padrão e podem ser alterados pelo painel de configuração. Se o PHP 8.0 for desativado, alguns processos como criação de sites PHP podem falhar.
sudo systemctl disable php7.1-fpm --now
sudo systemctl disable php7.2-fpm --now
sudo systemctl disable php7.3-fpm --now
sudo systemctl disable php7.4-fpm --now
sudo systemctl disable php8.0-fpm --now
sudo systemctl disable php8.1-fpm --now
sudo systemctl disable php8.2-fpm --now
sudo systemctl disable php8.3-fpm --now
sudo systemctl disable php8.4-fpm --now

Pacotes de serviços menos utilizados:

  • Memcached: É um sistema de cache de objetos equivalente ao Redis
  • Postfix: É um serviço para envio e entrega de mensagens de e-mail
  • ProFTPD: É um serviço que habilita acessos via FTP
  • Uncomplicated Firewall: É um bom firewall para proteger as portas abertas no sistema operacional quando exposto na internet
  • Varnish: É um bom sistema de cache de páginas porém dependente de manipulação do webservice
sudo systemctl disable memcached --now
sudo systemctl disable postfix --now
sudo systemctl disable proftpd --now
sudo systemctl disable ufw --now
sudo systemctl disable varnish --now

Configurações importantes do painel:

  • Backup dos sites do painel: https://[domain]/admin/remote-backup
  • Domínio do painel (porta padrão: 8443): https://[domain]/admin/settings
  • Fuso horário do painel: https://[domain]/admin/instance/settings
  • 2FA do usuário: https://[domain]/security
  • Fuso horário do usuário: https://[domain]/settings

Configurações importantes por shell:

Redis recomenda que a configuração vm.overcommit_memory seja sempre 1, assim como a configuração de um bind que ainda não está disponível pode impedir a subida do Redis. Você pode executar as linhas abaixo para adicionar vm.overcommit_memory = 1 e net.ipv4.ip_nonlocal_bind = 1 no arquivo /etc/sysctl.conf e em seguida aplicar a configuração executando sysctl -p.

{
  # 1. Handle vm.overcommit_memory
  if grep -q "^vm.overcommit_memory" /etc/sysctl.conf; then
    sudo sed -i 's/^vm.overcommit_memory.*/vm.overcommit_memory = 1/' /etc/sysctl.conf
  else
    echo "vm.overcommit_memory = 1" | sudo tee -a /etc/sysctl.conf
  fi

  # 2. Handle net.ipv4.ip_nonlocal_bind
  if grep -q "^net.ipv4.ip_nonlocal_bind" /etc/sysctl.conf; then
    sudo sed -i 's/^net.ipv4.ip_nonlocal_bind.*/net.ipv4.ip_nonlocal_bind = 1/' /etc/sysctl.conf
  else
    echo "net.ipv4.ip_nonlocal_bind = 1" | sudo tee -a /etc/sysctl.conf
  fi

  # 3. Apply changes immediately
  sudo sysctl -p
}

Você pode verificar se o Redis apresenta essa recomendação ou algum outro erro em seu log, executando:

sudo tail -f /var/log/redis/redis-server.log

Você pode verificar as queries de execução que chegam ao Redis com esse comando: 

redis-cli monitor

Configurações importantes do vhost:

Configuração principal do nginx, incluindo remoção do antigo GeoIP e atualização das regras dos headers de segurança:

Redefine regras do nginx, incluindo remoção do GeoIP, otimizações de performance e de segurança, usualmente não traz impacto para aplicações:

########## Rewrite nginx.conf file ##########
sudo tee /etc/nginx/nginx.conf > /dev/null << 'EOF'

user root;
worker_processes auto;
pid /run/nginx.pid;
worker_rlimit_nofile 8192;
include /etc/nginx/modules-enabled/*.conf;

events {
    worker_connections 2000;
    # multi_accept on;
}

http {
    real_ip_recursive on;
    set_real_ip_from 127.0.0.1;
    real_ip_header X-Forwarded-For;

    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for"';

    log_format cloudflare '$http_cf_connecting_ip - $remote_user [$time_local] "$request" '
                          '$status $body_bytes_sent "$http_referer" '
                          '"$http_user_agent" "$http_x_forwarded_for"';

    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;

    client_max_body_size 64M;
    keepalive_timeout 65;
    types_hash_max_size 2048;
    server_names_hash_bucket_size 128;
    server_tokens off;
    port_in_redirect off;
    disable_symlinks if_not_owner from=/home/;

    map $scheme $fastcgi_https { ## Detect when HTTPS is used
      default off;
      https on;
    }

    include /etc/nginx/blocked_ips;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    ssl_ciphers EECDH+AESGCM:EDH+AESGCM;
    ssl_prefer_server_ciphers on;
    ssl_conf_command Options KTLS;
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_dhparam /etc/nginx/ssl/dhparams.pem;

    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    access_log /var/log/nginx/access.log;
    error_log /var/log/nginx/error.log;

    limit_req_zone $binary_remote_addr zone=limit:10m rate=1r/s;
    limit_req_zone $binary_remote_addr zone=static:5m rate=30r/s;

    gzip on;
    gzip_disable "msie6";
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;
    gzip_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript application/javascript image/svg+xml;

    brotli on;
    brotli_comp_level 6;
    brotli_static on;
    brotli_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript application/javascript image/svg+xml;

    include /etc/nginx/sites-enabled/*.conf;
    
    map $http_upgrade $connection_upgrade {
        default upgrade;
        ''      close;
    }
}

EOF

########## Rewrite global_settings file ##########
sudo tee /etc/nginx/global_settings > /dev/null << 'EOF'

  ### Include security headers for the server block
  include /etc/nginx/security_headers;

  ### BEGIN Enabling Nostr domain validation and Lightning Address
  location ~ ^/.well-known/(nostr.json|lnurlp/.*) {
    add_header Content-Type application/json always;
    add_header Access-Control-Allow-Origin * always;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    add_header alt-svc 'h3=":443"; ma=86400' always;
  }
  ### END Enabling Nostr domain validation and Lightning Address

  ### BEGIN Settings for Traffic Advice
  location = /.well-known/traffic-advice {
    types { }
    default_type "application/trafficadvice+json; charset=utf-8";
    allow all;
  }
  ### END Settings for Traffic Advice

  ### BEGIN Redirect security.txt
  location /.well-known/security.txt {
      if ($host != 'icc.gg') {
          return 301 https://icc.gg/.well-known/security.txt;
      }
  }
  ### END Redirect security.txt

  ### BEGIN Deny access to hidden files and version control
  location ~ /\.(ht|svn|git) {
    deny all;
    access_log off;
    log_not_found off;
  }
  ### END Deny access to hidden files and version control

  ### BEGIN Block for WordPress legacy RPC 
  location = /xmlrpc.php {
    deny all;
  }
  ### END Block for WordPress legacy RPC 

EOF

########## Write global_settings file ##########
sudo tee /etc/nginx/security_headers > /dev/null << 'EOF'

  ### BEGIN Header security standards
  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
  add_header X-Frame-Options SAMEORIGIN always;
  add_header X-Content-Type-Options nosniff always;
  add_header Referrer-Policy strict-origin-when-cross-origin always;
  add_header Permissions-Policy "geolocation=(), microphone=(), accelerometer=(), camera=(), gyroscope=(), magnetometer=(), payment=(), usb=(), display-capture=(), midi=()" always;
  add_header Content-Security-Policy "img-src https: data: blob:; script-src 'unsafe-inline' 'unsafe-eval'; script-src-elem 'self' 'unsafe-inline' blob: https: data:; style-src 'self' 'unsafe-inline'; style-src-elem 'self' 'unsafe-inline' https:; frame-src 'self' blob: https:; worker-src 'self' blob:; frame-ancestors 'self'; object-src 'self'; base-uri about: https:; upgrade-insecure-requests;" always;
  add_header alt-svc 'h3=":443"; ma=86400' always;
  ### END Header security standards

EOF

########## Rewrite global_settings file ##########
sudo tee /etc/nginx/sites-enabled/default.conf > /dev/null << 'EOF'

### 1. HTTP (Port 80) Catch-All: Redirects ALL HTTP traffic to HTTPS
server {
    listen 80 default_server;
    listen [::]:80 default_server;

    server_name _;

    # Upgrades all port 80 traffic to HTTPS preserving the requested domain
    return 301 https://$host$request_uri;
}

### 2. HTTPS (Port 443) Catch-All: Drops unmatched SSL/TLS connections
server {
    listen 443 default_server ssl;
    listen [::]:443 default_server ssl;
    listen 443 quic reuseport default_server;
    listen [::]:443 quic reuseport default_server;

    server_name _;

    # Aborts TLS handshake if domain SNI does not match any vhost block
    ssl_reject_handshake on;

    # Fallback to close connection cleanly without response headers
    return 444;
}

EOF

########## Remove all legacy GEOIP features ##########
sudo find /etc/nginx -type f -exec sed -i '/GEOIP_/Id' {} +
sudo rm -rf /etc/nginx/geoip
sudo rm -f /etc/nginx/proxy.conf
sudo rm -f /etc/nginx/modules-enabled/50-mod-http-geoip.conf
sudo rm -f /usr/share/nginx/modules-available/mod-http-geoip.conf

########## Rename to disable all extra modules on nginx but brotli ##########
cd /etc/nginx/modules-enabled && for f in *.conf; do [[ "$f" != "50-mod-ngx-brotli.conf" ]] && mv "$f" "${f%.conf}.disabled"; done

########## Rewrite custom-domain.conf file ##########
DOMAIN=$(grep -m1 -E '^\s*server_name\s+' /etc/nginx/sites-enabled/custom-domain.conf | sed -e 's/^[[:space:]]*server_name[[:space:]]\+//' -e 's/;.*//')
cat << 'EOF' | sed "s/{{DOMAIN}}/$DOMAIN/g" | sudo tee /etc/nginx/sites-enabled/custom-domain.conf > /dev/null
server {
  listen 443 quic;
  listen 443 ssl;
  listen [::]:443 quic;
  listen [::]:443 ssl;
  http2 on;
  http3 on;

  ssl_certificate_key /etc/nginx/ssl-certificates/custom-domain.key;
  ssl_certificate /etc/nginx/ssl-certificates/custom-domain.crt;
  server_name {{DOMAIN}};
  client_max_body_size 5048M;
  root /home/clp/htdocs/app/files/public;

  #access_log /home/clp/logs/nginx/access.log;
  error_log /home/clp/logs/nginx/error.log;

  add_header Cache-Control no-transform;

  location / {
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header X-Forwarded-Host $http_host;
    proxy_pass https://127.0.0.1:8443/;
    proxy_max_temp_file_size 0;
    proxy_connect_timeout 7200;
    proxy_send_timeout 7200;
    proxy_read_timeout 7200;
    proxy_buffer_size 128k;
    proxy_buffers 4 256k;
    proxy_busy_buffers_size 256k;
    proxy_temp_file_write_size 256k;
  }
}

EOF

clear

########## Test and restart nginx ##########
sudo nginx -t && sudo systemctl reload nginx

Instalação de sistemas específicos no CloudPanel:

Em instalações do YOURLS, onde é necessário alterar a busca por index.php para yourls-loader.php, modifique a entrada try_files $uri $uri/ /index.php?$args; da seguinte forma:

 ### BEGIN custom entry for YOURLS
 try_files $uri $uri/ /yourls-loader.php$is_args$args;
 # try_files $uri $uri/ /index.php?$args;
 ###  END custom entry for YOURLS

Feito!

Esse artigo foi útil?

Usuários que acharam isso útil: 0 de 0
Voltar ao topo

Artigos relacionados