Hestia Control Panel é uma ferramenta de administração de hospedagem de código aberto para Linux. Ele abrange diferentes serviços e configurações relacionadas a hospedagem de sites, incluindo usuários, zonas de DNS, bancos de dados, e-mail e versões de PHP. No momento, instalação requer Debian 12 ou 13 ou Ubuntu 22.04, 24.04 ou 26.04. Em uma instalação limpa do sistema, basta baixar e executar o script de instalação:
$ wget https://raw.githubusercontent.com/hestiacp/hestiacp/release/install/hst-install.sh
# bash hst-install.shCaso o SO seja Ubuntu, ele vai solicitar a desinstalação do UFW alegando conflito com o fail2ban, uma ferramenta de prevenção de intrusão que normalmente utiliza o iptables como backend. O script cuida da instalação do Hestia bem como dos serviços e ferramentas que ele pode gerenciar, incluindo MariaDB, PHP, nginx e Apache.
Por padrão, ele baixa tanto o nginx quando o Apache porque ele também utiliza em sua arquitetura o nginx na frente como proxy HTTP reverso e o Apache como backend. Isso é vantajoso porque o nginx gerencia melhor os recursos de memória e processamento com múltiplas conexões, enquanto muitas plataformas, como Nextcloud, contam com o funcionamento dos drop-ins de .htaccess com que o Apache trabalha.
Outros seviços e ferramentas podem ser instalados, e a página com as instruções de instalação do Hestia permite que você selecione graficamente e ele transforma em parâmetros na linha de comando para a execução do script:
Após a instalação, painel fica disponível via HTTPS na porta 8083.
A área de configurações mostra algumas informações do servidor, o status de serviços, firewall e uma segunda área de configurações, configure.
Clicando no botão configure aparecem configurações mais específicas, onde configurações do servidor de banco de dados podem ser alteradas, outras versões do PHP podem ser adicionadas, bem como configurações de e-mail, backup e outros.
Podemos começar criando um pacote diferente do padrão na sessão de usuários. O pacote define quanto de cada recurso é disponibilizado ao usuário, incluindo armazenamento, tráfego de rede, quantidade de backups, quantidade de nomes de domínio, quantidade de banco de dados, etc.
Então, é possível agora criar um usuário e o atribuir esse pacote:
Após isso, esse usuário pode fazer login e configurar os próprios serviços: criar um site, criar um banco de dados. O usuário pode acessar o gerenciador de arquivos pelo próprio painel através do ícone de pasta no menu superior direito, que o leva para /home/username.
Os arquivos dos sites servidos pelo Apache ficam localizados em
/home/username/web/site.exemplo.com/public_html.
Através desse gerenciador de arquivos via web pode ser feito o upload de arquivos para o servidor web, incluindo suporte a descompactação de arquivos ZIP. Ao criar um site, ele é disponibilizado via HTTP na porta 80 e, após a configuração do SSL, também via HTTPS na porta 443.
Para algumas aplicações, como WordPress, Drupal e MediaWiki, há uma opção de “Instalação rápida” após a criação do domínio web.
Agora vem a questão de como os sites podem ser expostos à internet para acesso público. O Hestia permite a habilitação do SSL para um site no próprio painel, obtendo os certificados através da Let’s Encrypt e configurando o acesso via HTTPS no nginx automaticamente.
O sistema foi configurado em uma rede local sem possibilidade de abertura de portas para entrada de tráfego e resolver isso com o proxy reverso ou o Cloudflare Tunnel não é nenhuma novidade. No entanto, isso não é tão simples com os sites a serem hospedados. Isso porque:
- Cloudflare Tunnel:
- Os domínios de cada usuário precisariam ser hospedados na Cloudflare.
- O servidor precisaria executar o serviço de túnel de cada usuário.
- Configuração seria manual para cada usuário.
- VPS com nginx como proxy reverso HTTP + OpenVPN:
- A configuração de cada site precisaria ser criada manualmente ou através de um script para o nginx fazer a terminação SSL.
Para que o Hestia possa fazer a gestão automatizada dos certificados SSL, ele precisa ser responsável pela terminação SSL. Duas alternativas foram consideradas e testadas, ambas contando com um VPS e com uma arquitetura similar à utilizada para o proxy reverso HTTP: uma foi utilizar o nginx como proxy reverso TCP (utilizando o módulo stream) + OpenVPN. Nesta configuração o nginx não trata a camada de aplicação, apenas gerenciando as conexões TCP. A configuração do proxy fica:
# /etc/nginx/nginx.conf
stream {
server {
listen 443;
proxy_pass 10.8.0.2;
proxy_protocol;
}
}Para que os sites no Hestia tenham como registrar o IP de origem real, é necessário o uso do proxy_protocol. A configuração do nginx no Hestia precisa dos parâmetros:
# /etc/nginx/nginx.conf
http {
set_real_ip_from 10.8.0.1;
real_ip_header proxy_protocol;
}Adicionalmente, é necessário a criação de um novo template do nginx em /usr/local/hestia/data/templates/web/nginx com adição do parâmetro proxy_protocol na escuta do servidor, para que ele possa intepretar o protocolo proxy recebido.
listen 443 ssl proxy_protocol;A outra alternativa, que foi a solução adotada, foi a combinação do OpenVPN com regras de NAT e encaminhamento utilizando iptables. A ideia é, na VPS:
- Configurar NAT de destino para substituir o IP de destino (IP de eth0) pelo IP do servidor Hestia dentro da VPN, 10.8.0.2.
- Permitir o encaminhamento de pacotes da interface de rede do servidor, eth0, para a interface do OpenVPN, tun0.
- Configurar NAT de origem (mais especificamente, masquerade) para substituir o endereço de origem 10.8.0.2 pelo endereço de eth0.
- Permitir o encaminhamento de pacotes da interface tun0 para a interface eth0.
O script para configurar o encaminhamento com IPv4 no Linux e o firewall com IP tables fica:
#!/bin/sh
# permitir encaminhamento ipv4
sysctl -w net.ipv4.ip_forward=1 | tee /etc/sysctl.d/10-ipv4warding.conf
# permitir entrada na interface de loopback
iptables -A INPUT -i lo -j ACCEPT
# permitir entrada de conexões já estabelecidas ou relacionadas (para quando o servidor inicia a conexão)
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# permitir entrada de pacotes tcp na porta 22 (SSH)
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# permitir entrada de pacotes udp na porta 1194 pela interface eth0 (OpenVPN)
iptables -A INPUT -i eth0 -p udp --dport 1194 -j ACCEPT
# configurar NAT de destino, substituindo o ip de eth0 pelo cliente OpenVPN para as portas 80 e 443
iptables -t nat -A PREROUTING \
-i eth0 -p tcp --dport 80 \
-j DNAT --to-destination 10.8.0.2:80
iptables -t nat -A PREROUTING \
-i eth0 -p tcp --dport 443 \
-j DNAT --to-destination 10.8.0.2:443
# configurar NAT de origem para pacotes vindo da rede do OpenVPN e saindo por eth0, substituindo o IP de origem pelo IP de eth0 (MASQUERADE)
iptables -t nat -A POSTROUTING \
-o eth0 -s 10.8.0.0/24 \
-j MASQUERADE
# permitir encaminhamento entre as interfaces eth0 e tun0
iptables -A FORWARD \
-m conntrack --ctstate ESTABLISHED,RELATED \
-j ACCEPT
iptables -A FORWARD \
-i eth0 -o tun0 \
-p tcp -d 10.8.0.2 --dport 80 \
-m conntrack --ctstate NEW \
-j ACCEPT
iptables -A FORWARD \
-i eth0 -o tun0 \
-p tcp -d 10.8.0.2 --dport 443 \
-m conntrack --ctstate NEW \
-j ACCEPT
iptables -A FORWARD \
-i tun0 -o eth0 \
-m conntrack --ctstate NEW \
-j ACCEPT
# bloquear entrada e encaminhamento do restante de outros pacotes, permitindo saída
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPTCom isso, todos os pacotes serão direcionados ao servidor Hestia e chegarão com o IP de origem real. Isso permite que o fail2ban, uma ferramenta de prevenção de intrusão, seja configurado, já que ele determina o bloqueio ao IP de origem quando algum evento nos logs dispara uma ação. Isso foi uma grande vantagem dessa alternativa em relação ao proxy TCP.
Ordem em que os comandos são executados merece uma atenção especial. O iptables trabalha com duas tabelas nesse script: filter e nat. Cada uma delas tem 3 cadeias:
- filter:
- INPUT
- FORWARD
- OUTPUT
- nat:
- PREROUTING
- POSTROUTING
- OUTPUT – NAT para tráfego gerado localmente
Dentro dessas cadeias, as ordem em que as regras são definidas importam. Por exemplo, caso fosse executado
iptables -P INPUT DROP
iptables -A INPUT -p tcp --dport 22 -j ACCEPTtodos os pacotes seriam dropados pela primeira regra antes de serem avaliados pela segunda, o que causaria a perda de acesso ao SSH.
Essas regras do iptables não são persistentes através de reboots. Para torná-las:
# apt install iptables-persistent
# netfilter-persistent saveIsso cria os seguintes arquivos com as regras que serão restauradas na inicialização do sistema:
- /etc/iptables/rules.v4
- /etc/iptables/rules.v6
Por fim, o servidor Hestia precisa dos seguintes parâmetro na sua configuração de cliente OpenVPN:
redirect-gateway def1 bypass-dhcp
route <IP do servidor de OpenVPN> 255.255.255.255 net_gatewayA primeira linha, somada à configuração do NAT de origem e encaminhamento feita na VPS, faz com que toda requisição HTTP recebida pelo servidor do Hestia através da VPS também seja respondida através da VPS, utilizando seu IP.
A segunda linha exlui da VPN a rota para próprio servidor de VPN para que, caso o link falhe, o cliente consiga reestabelecer a conexão – o que deve ser feito por fora do túnel.