Các bài viết trên mạng dành cho centos 7 hiện tại đã quá cũ nên mình tổng hợp lại 1 bài mới nhất cho 2023. Khi mà các Bash Script như HOCVPS, VPSSIM Free lỗi + các bản PHP, MariaDB quá lỗi thời. Tất nhiên, cái vẹo gì mới xài cũng ngon hơn cái cũ là cái chắc rồi. Trong bài viết này mình sẽ cố gắng cập nhật liên tục để Webserver chạy các bản mới nhất.
Với Ubuntu thì bạn tham khảo thêm bài này: https://hoanggiangnam.com/huong-dan-cai-dat-lemp-stack-tren-ubuntu-20-cau-hinh-vhost-chuan-xac-nhat/
Đầu tiên bạn nên tạo SWAP nhé.
– Cách tạo SWAP
Đối với VPS GOOGLE cần đổi pass root + bật quyền login = ssh lên
# sudo su
# passwd
# yum install unzip zip net-tools wget nano -y — nếu là ubuntu thì xài apt-get thay cho yum để cài đặt nhé
1. Bật quyền root Login Pass
# nano /etc/ssh/sshd_config
Chú ý Thuộc tính
#PermitRootLogin no -- sửa lại là yes + xóa dấu thăng#PasswordAuthentication no -- sửa lại là yes + xóa dấu thăng
Sau đó lưu lại bằng cách Ctrl+O > Enter > Ctrl+X. ( Nếu dùng trình vi thay vì nano thì bấm Esc :wq Enter để lưu lại)
# service sshd restart
# yum update -y
$ sudo apt-get update && apt-get upgrade -y — Nếu là lệnh của Ubuntu thì nhớ thay bằng apt nhé
# reboot
1.1. Tắt Selinux
Tránh một số vấn đề xung đột xảy ra khi cài đặt và vận hành mình sẽ tắt SELinux. Để tắt Selinux các bạn chạy lệnh sau:sed -i 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/selinux/config && setenforce 0
hoặc:
# nano /etc/sysconfig/selinux
Sửa lại dòng:
SELINUX=enforcing
Thành:
SELINUX=disabled
Sau đó lưu lại bằng cách Ctrl+O > Enter > Ctrl+X và khởi động lại CentOS ( Chạy lên trên cho nhanh đỡ lằng nhằng )
# reboot
Giờ thì login lại bằng SSH đc rồi đấy!!
1.2. Cài đặt Nginx
Đối với ubuntu thì chạy lệnh này:
root@ubuntu:~# apt-get install nginx -y
Theo mặc định thì khi cài đặt qua repo của CentOS sẽ không phải là phiên bản mới nhất. Để cài đặt phiên bản mới nhất của Nginx chúng ta cần tạo repo riêng bằng cách tạo file /etc/yum.repos.d/nginx.repo
# nano /etc/yum.repos.d/nginx.repo
với nội dung sau:
[nginx-stable]name=nginx stable repobaseurl=http://nginx.org/packages/centos/$releasever/$basearch/gpgcheck=1enabled=1gpgkey=https://nginx.org/keys/nginx_signing.keymodule_hotfixes=true
Sau khi tạo repo các bạn chạy lệnh sau để cài đặt Nginx
# yum install -y epel-release nginx
Để kiểm tra phiên bản Nginx được cài đặt các bạn có thể dùng lệnh sau
# nginx -v
sau khi xong chúng ta sẽ khởi động NGINX:
# systemctl start nginx.service
Và cho NGINX khởi động cùng CentOS:
# systemctl enable nginx.service
1.3. Mở port CentOS 7
Mặc định CentOS 7 sử dụng FirewallD làm firewall thay cho Iptables trên CentOS 6. FirewallD quản lý các tác vụ firewall bằng cách sử dụng “zones” và “services”.
Đầu tiên chúng ta cần check xem FirewallD có đang chạy hay không:
# systemctl status firewalld
Nếu có dòng “active (running)” nghĩa là FirewallD đang hoạt động. Tiếp theo cần check xem FirewallD đang chạy ở zone nào?
# firewall-cmd --get-active-zones
Và kiểm tra xem các service nào được phép chạy qua FirewallD?
# firewall-cmd --zone=public --list-all
Ở đây chúng ta thấy thiếu 2 service http, https tương ứng các port 80, 443 để truy cập vào web. Chúng ta sẽ add thêm vào:
# firewall-cmd --zone=public --add-service=http
# firewall-cmd --zone=public --add-service=http --permanent
# firewall-cmd --zone=public --add-service=https
# firewall-cmd --zone=public --add-service=https --permanent
# firewall-cmd --add-service=http --permanent
# firewall-cmd --add-service=https --permanent
# firewall-cmd --reload
Đối với iptables
# iptables -I INPUT -p tcp --dport 80 -j ACCEPT
Đối với UFW firewall
# ufw allow http hoặc ufw allow 80/tcp
Vậy là xong, giờ chúng ta mở trình duyệt web lên và nhập vào xem được chưa.
thấy trang giống vầy là ok rồi.
1.4. Cấu hình Nginx cơ bản
Tất cả các file cấu hình của Nginx đều nằm trong thư mục /etc/nginx
- Backup file cấu hình Nginx
Trước khi bắt đầu cấu hình Nginx các bạn nên backup lại file config để có thể khôi phục khi cần thiết
# cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak
- >>> Cấu hình Nginx
Sau khi đã backup file cấu hình các bạn mở file /etc/nginx/nginx.conf và xoá sạch nội dung bên trong và thay thế bằng nội dung sau đây:
user nginx;worker_processes auto;pid /var/run/nginx.pid;#error_log logs/error.log;#error_log logs/error.log notice;#error_log logs/error.log info;events { worker_connections 10240;}http { include /etc/nginx/mime.types; default_type application/octet-stream; tcp_nopush on; tcp_nodelay on; sendfile on; log_format bytes '$bytes_sent $request_length'; keepalive_timeout 15; types_hash_max_size 2048; disable_symlinks if_not_owner from=$document_root; server_tokens off; add_header X-Frame-Options SAMEORIGIN; add_header X-XSS-Protection "1; mode=block"; add_header X-Content-Type-Options nosniff; add_header Strict-Transport-Security "max-age=63072000; includeSubdomains"; client_max_body_size 1024m; client_body_buffer_size 128k; server_names_hash_bucket_size 128; server_names_hash_max_size 10240; ssl_dhparam /etc/nginx/ssl/dhparams.pem; ssl_session_cache shared:SSL:10m; ssl_session_timeout 5m; proxy_read_timeout 1800s; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers on; index index.html index.htm index.php; gzip on; gzip_static on; gzip_disable "msie6"; gzip_http_version 1.1; gzip_vary on; gzip_comp_level 1; gzip_proxied any; gzip_types text/plain text/css application/json application/x-javascript text/xml application/xml application/xml+rss text/javascript application/javascript text/x-js image/svg+xml; gzip_buffers 16 8k; include /etc/nginx/conf.d/*.conf;}
>> Tạo dhparam
Để tạo dhparam các bạn chạy 2 lệnh sau
# mkdir -p /etc/nginx/ssl
# openssl dhparam -out /etc/nginx/ssl/dhparams.pem 2048
# nginx -t
>> Lệnh Khởi động Nginx
# systemctl enable nginx
# systemctl start nginx
Xong. giờ qua phần Cài đặt MariaDB
2. Cài đặt MariaDB
MariaDB là một sản phẩm mã nguồn mở tách ra từ mã mở do cộng đồng phát triển của hệ quản trị cơ sở dữ liệu quan hệ MySQL nhằm theo hướng không phải trả phí với GNU GPL. MariaDB được phát triển với sự dẫn dắt của những nhà phát triển ban đầu của MySQL, do lo ngại khi MySQL bị Oracle Corporation mua lại.
MariaDB được định hướng để duy trì khả năng tương thích cao với MySQL, để đảm bảo khả năng hỗ trợ về thư viện đồng thời kết hợp một cách tốt nhất với các API và câu lệnh của MySQL.
Trong hướng dẫn này hoanggiangnam.com sẽ hướng dẫn các bạn cài đặt MariaDB thay vì Mysql. Theo mặc định repo của CentOS chỉ có sẵn MariaDB 5. Để cài đặt MariaDB 10 các bạn cần tạo repo riêng.
2.1. Tạo repo cài đặt MariaDB 10.5 (Phiên bảnhiện tại là tháng6/2020)
Các bạn tạo file /etc/yum.repos.d/MariaDB.repo
# nano /etc/yum.repos.d/MariaDB.repo
với nội dung sau:
[mariadb]name = MariaDBbaseurl = http://yum.mariadb.org/10.5/rhel7-amd64/gpgkey=https://yum.mariadb.org/RPM-GPG-KEY-MariaDBgpgcheck=1
Note: Có thể kiểm tra phiên bản MariaDB tại đây: http://yum.mariadb.org/
2.2. Cài đặt MariaDB
Để cài đặt MariaDB các bạn chạy lệnh sau
# yum install MariaDB-server MariaDB-client -y
2.3. Đặt mật khẩu root
Sau khi cài đặt MariaDB các bạn tiến hành đặt mật khẩu root bằng cách chạy 3 lệnh sau
# systemctl enable mariadb
# systemctl start mariadb
# mysql_secure_installation
-----------------------------------------Enter current password for root (enter for none): Nhấn phím EnterSwitch to unix_socket authentication [Y/n]: nChange the root password? [Y/n]: YNew password: Nhập password root các bạn muốn tạoRe-enter new password: Nhập lại password rootRemove anonymous users? [Y/n] : YDisallow root login remotely? [Y/n]: YRemove test database and access to it? [Y/n] : YReload privilege tables now? [Y/n]: Y-----------------------------------------
Ở lần đầu tiên chạy lệnh này, password root của MariaDB không có chúng ta chỉ cần “enter”. Tiếp theo chọn Y để cài đặt pass cho root và nhập mật khẩu 2 lần giống nhau, các bạn nhớ lưu lại mật khẩu này. Với các câu hỏi còn lại các bạn chỉ cần chọn Y để bảo mật cho hệ quản trị cơ sở dữ liệu.
Cuối cùng nhớ cho MariaDB khởi động cùng CentOS với lệnh:
# systemctl enable mariadb
Như vậy là chúng ta đã hoàn tất cài đặt MariaDB 10.x trên CentOS 7. Ở bài viết tiếp theo mình sẽ hướng dẫn cài đặt PHP 7.x cho web server.
3. Cài đặt PHP 7.x trên CentOS 7 và các Module cần thiết
PHP 7 được thiết kế lại cho tốc độ xử lý nhanh hơn so với các phiên bản cũ. Hiện tại bản mới nhất là PHP 7.4 nên mình sẽ cài 7.4
Trước tiên chúng cài đặt remi repo là kho chứa php
# yum install http://rpms.remirepo.net/enterprise/remi-release-7.rpm -y
# rpm -Uvh http://rpms.remirepo.net/enterprise/remi-release-7.rpm
Tiếp theo cài đặt gói yum-untils:
# yum -y install yum-utils
# yum -y update
Và kích hoạt remi-php74 (bản mới nhất ở thời điểm hiện tại) bằng lệnh:
# yum-config-manager --enable remi-php74
# yum -y install php-fpm php-ldap php-zip php-embedded php-cli php-mysql php-common php-gd php-xml php-mbstring php-mcrypt php-pdo php-soap php-json php-simplexml php-process php-curl php-bcmath php-snmp php-pspell php-gmp php-intl php-imap perl-LWP-Protocol-https php-pear-Net-SMTP php-enchant php-pear php-devel php-zlib php-xmlrpc php-tidy php-mysqlnd php-opcache php-cli php-pecl-zip unzip gcc
Cấu hình PHP trên CentOS7
3.2. Cấu hình thông số php cơ bản
Bạn sửa tập tin php.ini lại thành như dưới hoặc tải file php.ini vào ( /etc/php.ini ) :
cgi.fix_pathinfo=0date.timezone = Asia/Ho_Chi_Minhexpose_php = Offshort_open_tag = Onmax_input_vars = 3000disable_functions = exec,system,passthru,shell_exec,proc_close,proc_open,dl,popen,show_source,posix_kill,posix_mkfifo,posix_getpwuid,posix_setpgid,posix_setsid,posix_setuid,posix_setgid,posix_seteuid,posix_setegid,posix_uname
-------------------------- có thể ko cầnTiếp theo mở file /etc/php-fpm.d/www.confTìm:user = apachegroup = apacheThay bằng:user = nginxgroup = nginxTìm:listen = 127.0.0.1:9000Thay bằng:listen = /var/run/php-fpm/php-fpm.sockTìm:;listen.owner = nobody;listen.group = nobody;listen.mode = 0660Sửa thành (bỏ dấu chấm phẩy ở đầu để kích hoạt):listen.owner = nginxlisten.group = nginxlisten.mode = 0660-------------------------- có thể ko cần
Khởi động php
# systemctl start php-fpm.service
Cho php khởi động cùng CentOS 7
# systemctl enable php-fpm.service
Cấu hình PHP-FPM
Tất cả các file cấu hình PHP-FPM sẽ nằm trong thư mục /etc/php-fpm.d. Đầu tiên các bạn backup lại file cấu hình mặc định
# cp /etc/php-fpm.d/www.conf /etc/php-fpm.d/www.conf.bak
Sau đó mở file /etc/php-fpm.d/www.conf xoá toàn bộ nội dung bên trong và thay bằng nội dung sau
[www]user = nginxgroup = nginxlisten = /var/run/php-fpm.sock;listen.owner = nginxlisten.group = nginxlisten.mode = 0660pm = ondemandpm.max_children = 10pm.process_idle_timeout = 20pm.max_requests = 500;slowlog = /var/log/php-fpm/www-slow.logphp_admin_value[error_log] = /var/log/php-fpm/www-error.logphp_admin_flag[log_errors] = onphp_value[session.save_handler] = filesphp_value[session.save_path] = /var/lib/php/sessionphp_value[soap.wsdl_cache_dir] = /var/lib/php/wsdlcachesecurity.limit_extensions = .php .php52 .php53 .php54 .php55 .php56 .php60 .php70 .php71 .php72 .php73 .php74
Tiếp theo các bạn chạy lệnh sau
# chown -R nginx:nginx /var/lib/php/*
3.4. Khởi động PHP-FPM
Sau khi cấu hình hoàn tất các bạn chạy 2 lệnh sau để khởi động PHP-FPM
# systemctl enable php-fpm
# systemctl start php-fpm
3.5. Kiểm tra PHP-FPM
Sau khi đã khởi động PHP-FPM các bạn có thể kiểm tra xem nó có hoạt động hay không. Đầu tiền các bạn mở file /etc/nginx/conf.d/default.conf xoá toàn bộ nội dung bên trong và thay thế bằng nội dung sau:
# cp /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak
server { listen 80; server_name localhost; access_log /var/log/nginx/localhost.log; access_log /var/log/nginx/localhost.bytes bytes; error_log /var/log/nginx/localhost.error.log; root /usr/share/nginx/html; index index.html index.htm index.php; location ~ .php$ { try_files $uri $uri/ =404; fastcgi_split_path_info ^(.+.php)(/.+)$; fastcgi_pass unix:/var/run/php-fpm.sock; fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; include fastcgi_params; } # redirect server error pages to the static page /50x.html # error_page 500 502 503 504 /50x.html; location = /50x.html { root /usr/share/nginx/html; }}
Khởi động lại Nginx để load lại cấu hình
# systemctl restart nginx
Sau đó các bạn tạo file /usr/share/nginx/html/info.php với nội dung sau:
# nano /usr/share/nginx/html/info.php
<?php phpinfo();?>
Lưu lại và truy cập theo link ip-vps/info.php để kiểm tra.xem ok chưa.
4. Cài đặt PhpMyAdmin và cấu hình bảo mật
- dạng 1: phpmyadmin.domain.com
- dạng 2: ipvps/phpmyadmin/
5. Cấu hình Vhost
Virtual Host là file cấu hình cho phép nhiều domain cùng chạy trên một máy chủ. Tất cả các file vhost sẽ nằm trong thư mục /etc/nginx/conf.d/. Để tiện quản lý mỗi website nên có một vhost riêng, ví dụ: hoanggiangnam.com.conf
Trong ví dụ này sẽ tạo website hoanggiangnam.com với vhost tương ứng là /etc/nginx/conf.d/hoanggiangnam.com.conf với nội dung sau:
# nano /etc/nginx/conf.d/hoanggiangnam.com.conf
server { listen 80; server_name www.hoanggiangnam.com hoanggiangnam.com; access_log /home/hoanggiangnam.com/logs/access.log; error_log /home/hoanggiangnam.com/logs/.error.log; root /home/hoanggiangnam.com/public_html; index index.php index.html index.htm; location ~ .php$ { try_files $uri $uri/ =404; fastcgi_split_path_info ^(.+.php)(/.+)$; fastcgi_index index.php; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; include fastcgi_params; fastcgi_intercept_errors on; if (-f $request_filename) { fastcgi_pass unix:/var/run/php-fpm.sock; } } location / { try_files $uri $uri/ /index.php?$args ; }}
Tiếp theo các bạn cần tạo thư mục chứa mã nguồn website và thư mục chứa file log bằng các lệnh sau:
# mkdir -p /home/hoanggiangnam.com/public_html
# mkdir -p /home/hoanggiangnam.com/logs
# touch /home/hoanggiangnam.com/logs/error.log
# chown -R nginx:nginx /home/hoanggiangnam.com
# chown -R nginx:nginx /home/hoanggiangnam.com/public_html
Khởi động lại Nginx để load cấu hình
# systemctl restart nginx
# nginx -t
# nginx -s reload
Sau khi cấu hình hoàn tất các bạn trỏ tên miền về vps sau đó tạo file /home/hoanggiangnam.com/public_html/index.php với nội dung sau và gõ tên miền của bạn vào thanh địa chỉ của trình duyệt để kiểm tra
# nano /home/hoanggiangnam.com/public_html/index.php
<!DOCTYPE html><html lang="en"><head> <meta charset="UTF-8"> <title>Cài đặt LEMP trên CentOS 7</title></head><body> <p><center><?= "Cài đặt LEMP trên CentOS 7 - hoanggiangnam.com" ?></center></p></body></html>
6. Cấu hình SSL
Sau khi đã có CRT và CA, Private Key quý khách đăng nhập vào VPS qua SFTP bằng Winscp với tài khoản root và di chuyển tới thư mục chưa các file cấu hình của NGINX (Thường là /etc/nginx)
1. Tạo thư mục chưa các file chứng chỉ SSL
# mkdir -p /etc/nginx/ssl
2. Tạo file private key
Bên trong thư mục ssl tạo tiếp file chứa nội dung Private key. Trong hướng dẫn này ví dụ sẽ tạo file hoangnam-prikey.key
# nano /etc/nginx/ssl/hoangnam-prikey.key
dán vào – lưu lại.
Tiếp tục tạo file thứ 2 chứa nội dung CRT và CA
# nano /etc/nginx/ssl/hoangnam-cert.crt
dán vào – lưu lại.
3. Cấu hình file vhost
Sau khi đã tạo các file chứng chỉ SSL thành công, cần cấu hình lại file vhost của website. File này thường nằm trong thư mục /etc/nginx/conf.d và có tên dạng domain.com.conf sửa lại nội dung của file Vhost để có thể nhận chứng chỉ SSL và tự động redirect website sang dạng https.
Các nội dung được thêm vào file vhost như sau:
listen 443 ssl;ssl_certificate /etc/nginx/ssl/hoanggiangnam.com/hoangnam-cert.crt;ssl_certificate_key /etc/nginx/ssl/hoanggiangnam.com/hoangnam-prikey.key;
Lưu ý cần sửa lại đường dẫn và tên các file chứng chỉ đúng với đường dẫn và tên file quý khách đã tạo ở bước trước.
Sau khi sửa và lưu file Vhost quý khách khởi động lại Nginx để thay đổi có hiệu lực
# service nginx restart
Mở port 443 ra:
firewall-cmd –zone=public –add-service=https –permanent
firewall-cmd –zone=public –add-port=443/tcp –permanent
firewall-cmd –reload
hoặc sử dụng iptables để chèn trước http (num = 5):
iptables -I IN_public_allow 5 -p tcp –dport 443 -j ACCEPT
service iptables save
service iptables reload
—————–
Nếu cài plugin SSL mà login admin ko được thì xóa cache redis đi nha.
- redis-cli
- FLUSHALL – clear all databases
- SELECT # – select database under index #
- FLUSHDB – empty currently selected database
- KEYS * – list all keys from currently selected
Login lại xem đc rồi là ok rồi đó.
7. Tài liệu tham khảo
8. Bảo mật VPS
– Cài đặt Fail2ban bảo vệ VPS/Server khỏi tấn công dò mật khẩu SSH
– SSH Root login và giới hạn truy cập SSH
– Cài đặt Rclone để backup VPS Linux – Code lên Google Drive
9. Chmod
Kiểm tra xem Selinux đã được tắt chưa: (Nếu chưa tắt thì phải tắt đi nhá.)
# getenforce
Sau do chmod lại bằng lệnh dưới:
# chown -R nginx:nginx /home/hoanggiangnam.com/public_html
Chạy lệnh trên để khác phục các lỗi do chmod như:
- – Không thể nâng cấp , update được các Plugin, addon, themes
- – Không thể upload ảnh lên khi viết bài
- – Không thể cài đặt code và được thông báo lỗi chmod
- – Không thể cài đặt code do code không quyền edit file, tạo file mới trên VPS…
- – …
Hoặc lệnh dưới:
# cd /path/to/wordpress/ — thay lại nha, ko phải copy dán vào đâu
# find . -type d -exec chmod 755 {} ;
# find . -type f -exec chmod 644 {} ;
10. Xử lý lỗi 404 not found – Nginx WordPress
Dể xử lý lỗi này trên nginx, bạn cần có quyền truy cập ssh vào server hoặc các quyền tương đương để sửa lại file cấu hình của Vhost Nginx.
File cấu hình nginx mặc định thường ở tại vị trí sau: /etc/nginx/conf.d/domain.conf
Bạn truy cập đến block server của vhost và tạo thêm cấu hình sau:
location / {try_files $uri $uri/ /index.php?$args ;}
Sau đó kiểm tra lại cú pháp xem có lỗi nào xuất hiện không, nếu không có lỗi bạn có thể tiến hành reload lại nginx để nhận vhost mới:
# nginx -t
Reload Nginx
# nginx -s reload
11. Redis
– Cài đặt Redis trên CentOS 7/8 , Ubuntu
– Bảo mật Redis