2017 年 4 月 7 日 – B豚の備忘録 | EC-CUBEやWORDPRESS、オープンソースの情報メモ

日: 2017年4月7日

Webmail（Rainloop）をインストールしてメールの送受信をテストする

それでは、RAINLOOPを入れていきま〜す。

こんな感じのオシャレなWEBMAILクライアントです。

https://www.rainloop.net/

オープンソースでも、roundcubeとかありますが、ちょいダサいので；

これからプログラムを入れることになるので、この辺で、一旦サーバー環境をアップデート。

apt-get -y update && apt-get -y upgrade

apt-getに-yオプションがつくと、インストールの途中で、続けていいのね？と質問があったら全部yesでヨロシクやっちゃって！ということです。気になる方は、-yはつけずに、確認しながら進めましょう。

終わったら、一応サーバーを再起動。

それでは、やっていきます！
ターミナルで下記を打ち込んで、必要なphpのモジュール等を追加しておいてください。

sudo apt-get install python-software-properties
apt install software-properties-common
sudo apt install php7.0-curl php7.0-xml
sudo apt-get install unzip

php -m | egrep 'odbc|mcrypt|mysqli|iconv|imap|openssl|pdo|SPL'

RAINLOOPの動作に必要なphp関係のモジュールも確認したところ、imap,mcrypt,odbcが足りてなかったので追加します。

apt-get -y install php-imap
apt-get -y install php-mcrypt
apt-get -y install php-odbc

さて、では、ついにRAINLOOPのインストールと設定をやっていきます。
ターミナルからやっていくほうが楽だったりもするんですが、今回は、せっかくなのでAjentiの画面からインストールしてみましょう。

NGINXは、基本の仕様として、静的コンテンツのみに対応していますので、WEBサイトでphpを利用できるようにするためには、先にインストールしておいたfastCGIのモジュールをphp-7.0 FPM経由で動作するように、そのサイトのconfigファイルに組み込んでやる必要があります。（※今回はインストール時からphp7.0で進めています）

環境を準備してRAINLOOPをインストールします。

最初に、サーバーのメールの送受信をSSL対応にしておきます。
Ajentiの管理パネルで「メール」メニューを開きます。「高度な設定」タブを開き、「TLS」の有効にチェックを入れ、「新しい証明書の生成」ボタンをクリック。すると、その上の証明書とプライベートキーのフォームに、exim4の.crtと.keyがそれぞれセットされます。一番下の「APPLY CHANGES」ボタンをクリックして、変更を保存しておきましょう。
メールアドレスを１つも作成していない場合は、１つ作成しておきます。「一般設定」タブから作成します。（ここまでで、先にwebadmin@example.comのメールアドレスを作成していたと思いますので、そのアドレスで、後ほどメールテストを行います。）
「WEBサイト」メニューから、webmail.example.comの管理画面を開きます。
「content」タブで、”PHP 7.0 fastCGI”を選んで「＋作成」ボタンをクリック。下の「APPLY CHANGES」ボタンをクリックして適用します。
PHPが動作できるようになったかを確認します。
「ファイルマネージャー」メニューから、/var/www/webmail.example.com/html/へ移動し、「新しいファイル」を作成します。”new file”という名前のテキストファイルができますので、それをクリックして開き、下記の内容に変更していきます。
- 名前： phpinfo.php
- アクセス：644（所有者のみReadとWriteにチェック、グループとその他は、Readのみチェック）
- 所有者：www-data（rootあるいはログインしたユーザー名になっていると思いますので、WEBサイトの実行ユーザーであるwww-dataに変更します）
- 真ん中あたりの「編集」ボタンをクリックして、メモ帳でファイルを開き、下記の内容を打ち込み、保存します。
```
<?php
phpinfo();
?>
```
- ブラウザで、https://webmail.example.com/phpinfo.phpへアクセスし、phpinfoの画面が表示されていればOKです。
次に「WEBサイト」メニューに戻り、管理画面の「一般設定」タブの、「AUTOMATIC DOWNLOADER」の項目に、下記を入力し、「 DOWNLOAD AND UNPACK」ボタンをクリックします。
ファイルがダダーッとwebmailのルートディレクトリにダウンロード＆展開されます。
```
https://www.rainloop.net/repository/webmail/rainloop-community-latest.zip
```
完了したら、念のため、その上の「 FIX FILE PERMISSIONS」ボタンをクリックして、ファイルとディレクトリのパーミションを修正しておきましょう。
お約束の確認です。（笑）
「ファイルマネージャー」メニューから、再び、/var/www/webmail.example.com/html/の中を覗くと、こんな感じになってますかね。
問題なければ、ブラウザで、
https://webmail.example.com/?admin
へアクセスしてみましょう。
RAINLOOPでは、URLの後ろに/?adminと打ち込んでアクセスすると、管理者メニューのログイン画面が表示されます。/?adminなしの場合は、ユーザーのWEBMAILのクライアント画面へのログインウインドウが表示されます。
初期のログインアカウントは、下記です。ログインできたら、インストールは一旦完了です。
アカウント：admin
パスワード：12345

RAINLOOPでEメールの送受信ができるように管理者として初期設定をする

管理者ログインします。まずは、セキュリティのために、パスワードを変更し、言語を日本語にします。
「Security」メニューからパスワードを変更。

「General」メニューから言語を変更。

日本語になりました！
「ドメイン」メニューを開きます。
「＋ドメインを作成」ボタンをクリック。
メールサーバーの設定を入力していきます。
こんな感じで、（example.comは、自分のドメイン名に置き換えてくださいよ！）設定ができたら、左下の「接続テスト」ボタンをクリックします。ちゃんと設定ができたら、IMAPとSMTPのタイトルがグリーンに変わります。
何かがおかしい場合は、赤に変わりエラーメッセージが出てきます。ここまでで必要なものは用意できているはずですので、赤くなったら場合は、順に設定を見直していってください。
SSL環境のみがおかしい場合は、この画面のセキュリティの項目を”なし”にすると、タイトルが緑になります。まずは、そこから確認して問題の切り分けを行いましょう。（これで緑になる場合は、９割がた、SSLの設定かファイアウォールのポートが開いてないかの問題です）これでも赤い場合は色々問題の可能性がありますが・・・）
設定ができたら、右下の「更新」ボタンをクリックして設定を保存しましょう。
色々オプションの設定はあるのですが、とりあえずこれでメールを安全なTSLで暗号化して送受信する準備ができました。
実際にWEBMAIL経由で送受信テストをしてみます。
ブラウザで、
https://webmail.example.com/
へアクセスし、先ほど作成したEメールアドレスとメールのパスワードでログインします。メールのクライアントが開きますので、新規メールを作成し、どこか自分が受信できるメールアドレス宛にテストメールを送ってみましょう。
送られたメールを相手のメールアドレスで受信したら、今度は返信で、WEBMAIL画面で、メールの受信もできるかどうか確認します。
送信も受信もできたらメールの設定は全て完了です。
オススメは、Gmailとのやりとりです。というのは、Gmailはスパムフィルターやメールの送受信の規制が厳しいので、Gmailにきちんとメールが届いているようなら、CONOHAのDNSで一番最初に設定したSPFレコードなどもきちんと通用していると考えられるからです。

お疲れ様でした。ここまでで、一通りのサーバー設定は完了しました！

次は、やや応用的な追加編として、MySQLのデータベースをphpMyAdminを入れて管理できるようにしようと思います。

＜やること一覧＞

バーチャルサイトとAjentiコントロールパネルをLet’s EncryptのSSL証明書に対応させ、ドメイン名でアクセスする

SSL証明書の各サイトへの適用は、Ajentiの管理パネルで作業します。

再び、左の「WEBサイト」メニューから、ドメインの管理画面に入ります。
（どのドメインからスタートしても構いません。）

「SSL]」タブを開き、ドキュメントの形状のアイコンをクリック。

SSL証明書のパス：/etc/letsencrypt/example.com/fullchain.pem
SSL key path：/etc/letsencrypt/example.com/privkey.pem

をそれぞれ選び、一番下の「APPLY CHANGES」ボタンをクリックして保存します。

証明書の作成の時に述べたように、Let’s Encryptの証明書発行で、メインドメイン以下のサブドメイン全てを１つの証明書として発行した場合は、この後全てのサブドメインに、同じように証明書の.pemファイルを設定します。

サブドメインごとに個別の証明書を発行した場合は、それぞれのSSL証明書を選択して設定しましょう。

注意）Let’s Encryptでは、同じドメイン名でサブドメインも含めて７日間の間に５組しか発行できない、という決まりがあります。やり直し、やり直し、としているうちに規定数を超えてしまってエラーになり、証明書が発行できなくなる場合があります。
その場合は、残念ですが、７日間開けて再びチャレンジしてみてください。

はい、これで、SSL証明書の設置も終わりました。
念のため、NGINXを再起動し、ブラウザから、それぞれのサブドメインにhttps://経由でアクセスして、ちゃんと保護された通信、となっているか確認しておいてください。

最後に、ここでみんなが疑問に思う（思わないか？w）、Ajentiの管理パネルそのものへSSL証明書を適用するには、どうしたらいいのか？というところの作業準備をしておきたいと思います。
SSLの暗号化自体は、Ajentiをインストールした時点で掛かっていますので、まあ、別に保護されない、とか言われても全然平気wという方は、ここは読み飛ばしてください。

Ajenti管理パネルは、証明書ファイルとプライベートキーファイルの２つを１つのファイルにまとめて登録しています。
ですので、fullchain.pemとprivkey.pemの２つのファイルを１枚になるようにつなぎ合わせて別にAjenti用の証明書ファイルを作成します。

#catコマンドで、fullchain.pemとprivkey.pemをajenti.pemというなの１つのファイルに繋ぎます。

cat /etc/letsencrypt/live/example.com/fullchain.pem /etc/letsencrypt/live/example.com/privkey.pem >/etc/letsencrypt/live/example.com/ajenti.pem

Ajentiの管理パネルの「設定」メニューから「一般設定」タブを選択し、SSLの項目の「証明書へのパス」を、今作成したajenti.pemに変更します。
/etc/letsencrypt/live/example.com/ajenti.pem

一番下の「保存」ボタンで、変更を保存してから、Ajentiを再起動します。

さて、ここで、今まで、ブラウザからは、https://000.000.000.000:8000とアクセスしていたところをhttps://example.com:8000にアクセスURLを変更してみます。
無事、保護された通信という緑のバッジでアクセスすることができるようになりました。
※SSL証明書は、ドメイン名に対して発行されるので、ドメイン名でアクセスした場合にのみ有効になります。

※ご理解いただいてるとは思うのですが・・・example.comは、仮の名称ですので、全て、ご自身のメインドメイン名に置き換えてくださいね（＾＾；
そのままコードをコピペでは動きませんよ；；

ということで、バーチャルホストのWEBサーバー、完了いたしました。

最後に、メールを作成しておきましょう！

Ajenti管理パネルの左メニューから、「メール」メニューを開きます。
初めて起動する場合は、有効にするか？と聞かれるので、ボタンをクリックして有効にします。

「一般設定：タブの私いメールボックスの項目の中の、「アドレス」へ、利用したいメールアドレスを入力します。後ろの＠マーク以下は、メインドメインを使用しますので、[@example.com]を選んでください。カスタムドメインの項目には何も入れません。「＋メールボックス」ボタンをクリックしたら、追加できました。一番下の、「APPLY CHANGES」ボタンのクリックも忘れずに。

とりあえず、あとでWEBMAILのソフトウエアをインストールしようと思っているので、そのテストで使用するために、webadmin@example.comを１つ作っておきましたw

続いて「高度な設定」タブで、TLSの有効にチェックが入っているか確認しておきましょう。問題なければ、これで、メールも暗号化された安全な状態で送受信ができるようになります。

WEBMAILには、いくつか有名パッケージがあるので、自分の好むものであれば、どれを使用しても良いと思います。今回は、おしゃれなWEBMAILのソフトウエア、RAINLOOPを入れてみましょう！
次は、RAINLOOPをインストールしてメールの送受信テストをやっていきます。

＜やること一覧＞

ubuntu16.04にNGINX+Ajentiで作成したバーチャルホストに、Let’s Encryptで無料SSLを発行する

さて、ここまでで、CONOHAのVPSにubuntu16.04でLinuxサーバーを立てて、DNSで取得した独自ドメインにwebmail用のサブドメインやメールサーバー用のサブドメイン〜メールサーバー用のレコードを作成し、ubuntuサーバーに、WEBサーバーやらデータベースサーバーやらFTPサーバーやらメールサーバーやらをインストールして、AjentiでWEBサーバーにバーチャルホストを作成した、というところまでやってきました。

あ〜長かった！！

とため息をつかれている方も多いかもしれません。

そう、サーバー構築は長くて辛い道のりなんです。笑。

ここからは、作成したWEBサイトに SSL証明書をインストールして暗号化通信を有効にしていきます。
今回は、Let’s Encryptを使って「無料」のSSL証明書を導入します。

一昔前、独自SSL証明書の導入というととにかく費用がかかってしょうがなかったものでした。
共有のレンタルサーバーなんかには独自ドメインのSSLなんかは設定できなかったので、高額な固定IPのサーバーを借りて、みたいなこともありました。
しかし、検索エンジンのGoogleが、インターネット経由の通信に、暗号をかけていないような安全じゃないサイトは、もうGoogleの検索で、上位に上げてあげないよ！的な宣告をしたもんで、WEBの中の人は、ただいま大変ざわついております。笑。笑。

ちょと話は逸れますが、SSLの証明には、いくつかの有名サービスがあり、価格帯もバラバラです。
SSLの暗号化自体は、技術の話なので、別にいつでも無料でできるのですが、要は、正しい技術を使って、ちゃんと出自の確認された運営者がこのサイトを安全に暗号化していますよ、と公的な機関に保証してもらうのがSSL証明書です。
価格がなぜ大きく違うかというと、証明機関がどこまでを責任持って確認しているか、ということと、そのサイトからクレジットカードなんかの情報が漏れてしまったような場合などに、その証明機関がいくらまで保証してくれるか、という補償範囲が違うのです。
例えば、大御所のベリサインなんかは SSL証明書の取得が大変高価です。その代わり、WEBサイトの運営者がちゃんと実在していて、連絡も取れるかとか、細かく調べて、ちゃんと安心していいしっかりした会社がこのサイトを運営しています！もしそれでも損害が発生するようなことがあれば何千万円まで補償します！というところまでの責任を負ってくれるので高額なのです。
その一方で、証明の範囲が単にちゃんとSSL技術の暗号化かかってるよ！ということだけで、もしもの保証がない証明書などは、取得費用も安価です。

Let’s Encryptは、証明の範囲を最小限、SSLがちゃんとかかっている、WEBサイトがちゃんと実在している、ということに絞って証明書を発行する手順を自動化する代わりに、無料で誰でもSSL証明書を取得できる、というオンラインサービスです。

「どっかの誰かさんが、なんかWEBサイト運営してるけど、まあSSLちゃんとかかってるよ！」程度の証明にしかならないので、ビジネスでWEBサイトを運営されるような場合は、ちゃんとお金を払って、最低限、会社名や証明書の発行者の身元がしっかりしているということを証明してくれる信頼性の高いSSL証明書を取得する方がいいでしょう。ただ、個人のブログやちょっとした趣味のサイトくらいなら、そこに費用を使うのも勿体無い、とか、とりあえず自分でVPSでやってみたいから、そこに費用をかけたくない、というニーズもあると思います。

Let’s Encryptは無料です。しかし無料なりの制限があって、現在のところ、証明できる期間は、最長で３ヶ月です。通常機関のSSL証明書が１年単位ですので、大変短いです。
ただし、Let’s Encryptには、延長の仕組みもあり、サーバーのCRONなどを使って、更新時期が近づいたら、自動で更新プロセスを走らせることもできますので、そこはそれほど困ることはないと思います。

ということで、前置き長かったですが、Let’s Encryptを入れていきます！

まずは、事前準備！

Let’s Encryptは、①実際に運営されていて、②Let’s EncryptのプログラムがアクセスできるWEBサイトにしか証明書を発行することができません。
ですので、先に作成したバーチャルホストのそれぞれのドキュメントルートに、最低限、index.htmlを置きましょう。そして、ディレクトリとファイルのアクセス権限をLet’s Encryptのプログラムがアクセスできるように最適化しておきます。

それでは、デフォルトサーバーを例に見ていきます。
下記の操作は、先にバーチャルホストを作成した際にできているはずですが、念のため確認をしつつ、まだ準備ができていなかった場合は、下記の手順で、Let’s EncryptによるSSL証明書発行のための準備を整えます。

Ajentiの管理パネルの「ファイルマネージャー」メニューから、先ほど作成したWEBサイトのルートディレクトリへ移動します。
/var/www/html/
この中に、index.htmlを作成し、ファイルパーミションを、644に、所有者をwww-dataに変更します。
/html/のファイルパーミションは、755、同じく所有者は、www-dataです。
どちらも、「WEBサイト」メニューでバーチャルホストを作成した際に、「FIX FILE PERMISSION」ボタンをクリックして、ディレクトリ内のファイルのパーミションを一括して変更することができますので、先に、パーミションを変更していた場合は、ここでは念のため確認をしておいてください。※パーミションや所有者が正しく設定できていないと、SSL証明書が発行できずエラーとなりますので注意しましょう。
同じように他のサブドメインについても確認していきます。
「WEBサイト」メニューでは、それぞれのバーチャルホストの管理ページで、今一度下記が正しく設定できているか確認しておいてください。
- 「一般設定」タブで、サイトは有効にチェックが入っており、メンテナンスモードのチェックは外れていますか？WEBサイトファイルへのパスは正しいですか？
- 「ドメイン」タブで、ドメインは正しく設定されていますか？デフォルトサーバーには、メインドメインと、www./mail.の３つのドメインが登録されています。そのほかのバーチャルホストは、サブドメイン１つだけが登録されています。
- 「ポート」タブでは、デフォルトの80番ポートの他に、443ポートが作成されており、443ポートのSSLにチェックが入っていますか？
CONOHAコントロールパネルののDNSでサブドメインは、正確に設定できている前提ですので、ここでは再確認はしませんが、この後のインストールがうまくいかない場合は、設定を確認して見てください。

Let’s EncryptのNGINX用プラグインをインストール！

Let’s Encryptは、現在最新版のクライアントの名称が、「certbot」に変更になっています。このクライアントソフトによって、簡単に証明書を作成することができます。

certbotプラグインには、いくつかオプションの種類がありますが、今回は、最新版で導入されたNGINXオプションを使って簡単にやっていきたいと思います。
ターミナルからコマンドで操作します。

#GITのリポジトリから、certbotプラグインを /opt/cartbot/ ディレクトリにコピーしてきます。
sudo git clone https://github.com/certbot/certbot /opt/certbot

#念のため、インストールディレクトリに移動して、確認します。
cd /opt/certbot
ls -la

こんな感じで、色々入っていると思いますw

NGINXのプラグインモードで、インストールしていきます。

sudo /opt/certbot/certbot-auto --nginx
Do you want to continue? [Y/n] y

必要なモジュール類が、だだだーっとインストールされます。
無事、インストールが完了したら、証明書のリニューアル時やLet’s Encryptからのセキュリティ情報の送信に使われるEメールアドレスを聞かれますので、有効なメールアドレスを入れましょう。

Enter email address (used for urgent renewal and security notices) (Enter 'c' to cancel):webadmin@example.com

続けて、利用規約に同意するかどうかを聞かれますので、Aを入力して同意します。

-------------------------------------------------------------------------------
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf. You must agree
in order to register with the ACME server at
https://acme-v01.api.letsencrypt.org/directory
-------------------------------------------------------------------------------
(A)gree/(C)ancel:A

調査メールなどを送ってもいいか？と聞かれます。どっちでもお好きなように、YかNを入力します。

-------------------------------------------------------------------------------
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about EFF and
our work to encrypt the web, protect its users and defend digital rights.
-------------------------------------------------------------------------------
(Y)es/(N)o: Y

次に、先ほどからAjentiで設定したサブドメインを含めたドメイン全体のリストがずらっと並びます。
リストのうち、どれをHTTPS化（＝SSL化）したいですか？と聞かれますので、SSL対応するドメインの番号を、コンマ区切りか、/区切りか、あるいはスペース区切りで入力します。
今回、このリストにあるものは全て、SSLにするつもりですので、全てを選んでコンマでつないでいきます。
※ここで、選んだバーチャルホストは、１つのSSL証明書セットに、全てがまとめられて１組の証明書が発行されます。証明書をそれぞれ別に発行したい場合は、１つずつ選んで、個別に発行することもできます。その際も、メインのドメインと、mail,wwwは、同じ１つのデフォルトサイトにしますので、セットにしておきましょう！

Which names would you like to activate HTTPS for?
-------------------------------------------------------------------------------
1: example.com
2: mail.example.com
3: phpmyadmin.example.com
4: webmail.example.com
5: www.example.com
-------------------------------------------------------------------------------
Select the appropriate numbers separated by commas and/or spaces, or leave input
blank to select all options shown (Enter 'c' to cancel):1,2,3,4,5

多少メッセージは違うかもしれませんが、およそ下記のような感じで、証明書発行したよー！と言われます。

Performing the following challenges:
tls-sni-01 challenge for example.com
tls-sni-01 challenge for mail.example.com
tls-sni-01 challenge for phpmyadmin.example.com
tls-sni-01 challenge for webmail.example.com
tls-sni-01 challenge for www.example.com
Waiting for verification...
Cleaning up challenges
Generating key (2048 bits): /etc/letsencrypt/keys/0000_key-certbot.pem
Creating CSR: /etc/letsencrypt/csr/0000_csr-certbot.pem
Cannot find a cert or key directive in /etc/nginx/conf.d/examplecom.conf for set(['www.example.com', 'mail.example.com', 'example.com']). VirtualHost was not modified.
IMPORTANT NOTES:
- Unable to install the certificate
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/example.com/fullchain.pem. Your cert will
expire on 2017-07-06. To obtain a new or tweaked version of this
certificate in the future, simply run certbot-auto again with the
"certonly" option. To non-interactively renew *all* of your
certificates, run "certbot-auto renew"
- Your account credentials have been saved in your Certbot
configuration directory at /etc/letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also contain certificates and private keys obtained by Certbot so
making regular backups of this folder is ideal.

発行された証明書は、/etc/letsencrypt/live/example.com/ ディレクトリの中に格納されていますので、ちゃんと入っているか確認してみましょう。
”Unable to install the certificate”とか書かれていますが、この後インストールしていきますので、気にしません；
上記の手順で、サブドメインごとに別々に証明書を発行した場合は、/etc/letsencrypt/live/の中に、それぞれのドメイン名ごとにディレクトリができていて、その中にファイルが入っていると思います。

cd /etc/letsencrypt/live/example.com
ls -la

cert.pem
chain.pem
fullchain.pem
privkey.pem

この４つが入っているか、それぞれ確認してみてください。
この中で、fullchain.pemとprivkey.pemを使います。
fullchain.pemは、証明書情報が一式だーっと入っているキーファイルです。privkey.pemはそれとペアになるプライベートキーになります。

見やすいので、Ajentiの管理パネルからファイルマネージャーで確認しても構いません。

長くなったので、一旦ここまで！
次は、このファイルを実際のバーチャルドメインに設定します。
ここまでできたら、SSL化はほぼできたと思って安心して大丈夫です。（＊＾＾＊）

参考１：https://letsencrypt.jp/docs/using.html

参考２：https://arashmilani.com/post?id=95

＜やること一覧＞

月	火	水	木	金	土	日
					1	2
3	4	5	6	7	8	9
10	11	12	13	14	15	16
17	18	19	20	21	22	23
24	25	26	27	28	29	30