Maschinenraum/cp.uugrn.org: Unterschied zwischen den Versionen

Aus UUGRN
Zur Navigation springen Zur Suche springen
← Zum vorherigen Versionsunterschied
Dokumentation des Aktualisierungesvorgangs
Keine Bearbeitungszusammenfassung
 
(25 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
;Admin Kontakt: sh[at]uugrn.org
= cp.uugrn.org =
;Hostname: cp.uugrn.org
;Aufgabe: Plattform für Echtzeit-Er-/Bearbeitung von Texten, Tabellen, Präsentationen, Kanban, Terminfindung…


==== Beschreibung ====
{| class="wikitable"
Ein CryptPad sind Inhalte, die gemeinsam und gleichzeitig (kollaborativ) erarbeitet werden können. Im Vergleich zu Etherpad sind die Inhalte verschlüsselt auf dem Server gespeichert. Die Software ermöglicht das Erstellen und Bearbeiten von Inhalten mit mehreren Personen gleichzeitig. Es gibt verschiedene Dokumenttypen.
! Bereich
! Wert
|-
| Admin-Kontakt
| sh[at]uugrn.org
|-
| Hostname
| cp.uugrn.org
|-
| Aufgabe
| Plattform für kollaborative und verschlüsselte Dokumente
|-
| Produktiv seit
| 06.01.2025
|-
| Hosting
| Hetzner CX22, 2 CPU, 4 GB RAM, 40 GB SSD
|-
| Betriebssystem
| Debian 13.6 (Trixie)
|-
| CryptPad
| v2026.5.1
|-
| nginx
| 1.30.4
|-
| Node.js
| 24.18.1
|}


[https://gnulinux.ch/cryptpad-zusammen-an-dokumenten-arbeiten Anleitung an Dokumenten arbeiten]
== Beschreibung ==


===== Dokumentation und Unterstützung =====
CryptPad ermöglicht die gemeinsame Bearbeitung von Texten, Tabellen, Präsentationen, Kanban-Boards und weiteren Dokumenten. Die Inhalte werden verschlüsselt auf dem Server gespeichert.


* [https://docs.cryptpad.org/en/admin_guide Adminguide], [https://docs.cryptpad.org/en/admin_guide/installation.html Installation], [https://docs.cryptpad.org/en/admin_guide/maintenance.html Wartung]
Instanz:
* [https://forum.cryptpad.org/ Cryptpad Forum]
* [https://matrix.to/#/#cryptpad-admins:matrix.xwiki.com Cryptpad Matrix Kanal]


==== CryptPad aktualisieren ====
* https://cp.uugrn.org/


Wartungsarbeiten über die Mailingliste, IRC und Matrix ankündigen.
Sandbox-Domain:


Prüfen, ob es eine Aktualisierung gibt: [https://github.com/cryptpad/cryptpad/releases Releasenotes] geben Hinweise zum Update von Version zu Version.
* https://sandboxcp.uugrn.org/
Was steht an; [https://github.com/cryptpad/cryptpad/milestones Plan für künfünftige Veröffentlichtungen]. [https://cryptpad.fr/kanban/#/2/kanban/view/PLM0C3tFWvYhd+EPzXrbT+NxB76Z5DtZhAA5W5hG9wo/ Kanban der öffentlichen Roadmap].


Diagnoseseite prüfen: https://cp.uugrn.org/checkup/
Diagnose:


Prüfen was auf dem Server gerade los ist:
* https://cp.uugrn.org/checkup/


Liste aller laufenden Prozesse azeigen
=== Dokumentation und Unterstützung ===
<pre>
ps aux
ps aux | grep nginx
</pre>


Aktive Verbindungen und Sockets anzeigen
* [https://docs.cryptpad.org/en/admin_guide/ Administrator Guide]
<pre>
* [https://docs.cryptpad.org/en/admin_guide/installation.html Installation]
ss -ant
* [https://docs.cryptpad.org/en/admin_guide/maintenance.html Wartung]
#nur hörende Verbindungen
* [https://github.com/cryptpad/cryptpad/releases Release Notes]
ss -lt
* [https://forum.cryptpad.org/ CryptPad Forum]
# udp und tcp
ss -anut
</pre>


# Logs anzeigen allgemein und ausgaben zu Cryptpad prüfen
== Betrieb ==
<pre>
journalctl -f
journalctl -u cryptpad -f
</pre>


# Aktive Verbindungen prüfen
CryptPad läuft unter dem Benutzer cryptpad.
<pre>
# Zugriffsprotokolldatei von NGINX
sudo tail -f /var/log/nginx/access.log


# Welche IPs sind aktiv?
Installationsverzeichnis:
sudo awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head


# Zeigt alle Prozesse, die gerade eine aktive Verbindung zum TCP-Port 3000 haben
: /home/cryptpad/cryptpad
sudo lsof -i :3000 -i :3001 | grep ESTABLISHED
# alternativ
sudo lsof -i | egrep ':3000|:3001' | grep ESTABLISHED


# gibt es aktive Verbindungen auf den Ports 3000 und 3001
=== Dienste ===
ss -antp | egrep ':3000|:3001' | grep ESTABLISHED
</pre>


Per ssh mit der Konsole des Servers bei Hetzner verbinden:
; CryptPad
<pre>
: systemctl status cryptpad
ssh  -4 -i ./.ssh/ssh-rsa-private-4096-key root@cp.uugrn.org
: systemctl restart cryptpad
</pre>


Sicherung anlegen (als root im Ordner /root) und Aktualisierung Debian:
; nginx
<pre>
: systemctl status nginx
# Prüfung und Installation von Debian Updates
: nginx -t
apt update
: systemctl reload nginx
apt upgrade
# Gegebenenfalls Neustart des Servers einplanen.


#Server stoppen
; SSH
sudo systemctl stop cryptpad
: systemctl status ssh


#Sichern
; Firewall
tar czf ~/cryptpad-backup-$(date +%F).tar.gz /home/cryptpad/cryptpad
: systemctl status nftables
: nft list ruleset


#Server wieder starten oder gleich das Update nachziehen
; Fail2ban
sudo systemctl start cryptpad
: systemctl status fail2ban
</pre>
: fail2ban-client status sshd


<pre>
; Fehlerhafte Dienste
#als Benutzer cryptpad, im Ordner /home/cryptpad/cryptpad
: systemctl --failed
# Installationshinweise bei den Releasenotes ansehen


# Beispiel Version 2025.3.0
=== Logs und Diagnose ===
git fetch --depth 1 origin tag 2025.3.0
git checkout 2025.3.0
npm ci
npm run install:components
# www/common/worker.bundle.min.js bauen
npm run api
npm run build


# Beispiel Version 2025.3.1 mit Update onlyoffice
; CryptPad-Log
git fetch --depth 1 origin tag 2025.3.1
: journalctl -u cryptpad -f
git checkout 2025.3.1
npm ci
npm run install:components
./install-onlyoffice.sh
npm run build


# als Benutzer root
; nginx-Log
# Server starten
: journalctl -u nginx -b
sudo systemctl start cryptpad


#Prüfen, gibt es Unterschiede an der Standardkonfigurationsdatei, die in die eigene Konfiguration übernommen werden müssen?
; Offene Ports
diff config/config.example.js config/config.js
: ss -lntup


# Nach Änderungen den Dienst neustarten
; Aktive TCP-Verbindungen
sudo systemctl restart cryptpad
: ss -ant


# Status des Dienstes ansehen
; Häufigste IP-Adressen im nginx-Zugriffslog
sudo systemctl status cryptpad
: awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head


# Diagnoseseite prüfen:
CryptPad kann zur Fehlersuche auch direkt gestartet werden. Zuvor muss der systemd-Dienst gestoppt werden.
https://cp.uugrn.org/checkup/
</pre>


# npm = Node Package Manager Server Starten und Logausgaben prüfen
; Dienst stoppen
<pre>
: systemctl stop cryptpad
cd /home/cryptpad/cryptpad
npm start
</pre>


==== Admin Log ====
; Als CryptPad-Benutzer
* Betriebsystem: Debian
: su - cryptpad
* Webserver: NGINX
: cd /home/cryptpad/cryptpad
* Produktiv seit: 06.01.2025
: npm start
* URL: https://cp.uugrn.org/


==== Install Log ====
Danach den manuellen Prozess beenden und CryptPad wieder über systemd starten.


OS: Debian (12)
: systemctl start cryptpad
Hetzner cx22, 2 CPU, 40 GB SSD, 4 GB Ram


Installierte Software
== SSH ==
* cryptpad 2025.3.1
* nginx (als reverse proxy)


Anleitung:
Der direkte SSH-Zugang als root sowie die Passwortanmeldung sind deaktiviert.
* [https://docs.cryptpad.org/en/admin_guide/installation.html]
* [https://gnulinux.ch/cryptpad-zusammen-an-dokumenten-arbeiten]


Diagnose: https://cp.uugrn.org/checkup/
Administrativer Benutzer:


===== Vorbereitungen =====
: adminBenutzer


<pre>
Anmeldung:
2 Domains werden benötigt die beide auf den Server zeigen
cp.uugrn.org sandboxcp.uugrn.org (für erweiterten Schutz gegen CSS)


apt install -y curl
: ssh -4 -i ~/.ssh/ssh-rsa-private-4096-key adminBenutzer@cp.uugrn.org


curl -fsSL https://deb.nodesource.com/setup_lts.x -o nodesource_setup.sh
Anschließend:


bash nodesource_setup.sh
: sudo -i


apt install -y nodejs
Wesentliche SSH-Härtung:
</pre>


===== Benutzer anlegen =====
* PermitRootLogin no
* PasswordAuthentication no
* KbdInteractiveAuthentication no
* PubkeyAuthentication yes
* AllowGroups sshusers
* LoginGraceTime 30
* MaxAuthTries 3
* MaxStartups 10:30:30
* PerSourceMaxStartups 3


<pre>
; Konfiguration prüfen
useradd -m cryptpad -s /bin/bash
: sshd -t
</pre>


CryptPad läuft unter dem Benutzer „cryptpad“.
; Effektive Konfiguration
: sshd -T


Das Home-Verzeichnis ist /home/cryptpad/cryptpad.
== Firewall und Fail2ban ==


===== CryptPad installieren =====
Öffentlich erreichbar sind:


<pre>
{| class="wikitable"
su - cryptpad
! Port
! Dienst
|-
| 22/tcp
| SSH
|-
| 80/tcp
| HTTP
|-
| 443/tcp
| HTTPS
|}


git clone https://github.com/cryptpad/cryptpad.git cryptpad
CryptPad selbst ist nur über Loopback erreichbar, unter anderem auf Port 3000 und 3003.


cd cryptpad
nftables:


npm ci
* INPUT DROP
* FORWARD DROP
* OUTPUT ACCEPT


npm run install:components
Konfiguration:


./install-onlyoffice.sh
: /etc/nftables.conf


# Beispielkonfiguration an den richtigen Ort kopieren
Fail2ban schützt SSH zusätzlich.
cp config/config.example.js config/config.js


# Konfiguration anpassen
Konfiguration:
nano config/config.js


# httpUnsafeOrigin: 'https://cp.uugrn.org',
: /etc/fail2ban/jail.d/sshd.local
# httpSafeOrigin: 'https://sandboxcp.uugrn.org',


# cryptpad als Service eintragen
Einstellungen:
# als Root
wget https://raw.githubusercontent.com/cryptpad/cryptpad/main/docs/cryptpad.service -O /etc/systemd/system/cryptpad.service


# Dienst aktivieren
* 4 Fehlversuche innerhalb von 10 Minuten
systemctl enable --now cryptpad
* Sperrdauer 1 Stunde
* Backend systemd
* Sperren über nftables
* usedns = no


systemctl start cryptpad # Starten des Dienstes
Normalerweise sind folgende nftables-Tabellen vorhanden:
systemctl status cryptpad # Info über den Dienst
systemctl stop cryptpad # Stoppen des Dienstes
systemctl restart cryptpad # Neustarten des Dienstes
ss -ant # hier kann man schauen, ob am Port 3000 und 3001 Verbindungen akzeptiert werden
</pre>


===== NGINX installieren =====
* table inet filter
<pre>
* table inet f2b-table
sudo apt install nginx


mkdir -p /etc/nginx
Nach einem manuellen Neustart von nftables auch Fail2ban neu starten:


openssl dhparam -out /etc/nginx/dhparam.pem 4096
: systemctl restart nftables
# Generierung dauert eine ganze Weile. Abwarten, bis beendet.
: systemctl restart fail2ban
</pre>


===== Let's Encrypt installieren und Zertifikat generieren =====
== Updates ==
<pre>
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx certonly -d cp.uugrn.org -d sandboxcp.uugrn.org
sudo systemctl enable certbot.timer


Certificate is saved at: /etc/letsencrypt/live/cp.uugrn.org/fullchain.pem
Debian-Sicherheitsupdates werden automatisch über unattended-upgrades installiert.
Key is saved at:        /etc/letsencrypt/live/cp.uugrn.org/privkey.pem
</pre>


<!--
Nicht automatisch aktualisiert werden:
===== Letsencrypt Erneuerung einrichten =====
<pre>
$ cat /etc/cron.weekly/certbot.sh
#!/bin/sh
PATH=/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/bin
certbot renew
service nginx reload
</pre>
​-->


===== NGINX konfigurieren =====
* normale Debian-Updates
<pre>
* Node.js / NodeSource
wget https://raw.githubusercontent.com/cryptpad/cryptpad/main/docs/example.nginx.conf -O /etc/nginx/conf.d/cryptpad.conf
* nginx
* CryptPad


Anschließend die Datei bearbeiten.
Automatische Neustarts sind deaktiviert.
Domains eintragen und die Lets-Encrypt-Pfade.
</pre>


<!--  
; Updates prüfen
<pre>
: apt update
server {
: apt list --upgradable


        listen      443 ssl;
; Automatische Sicherheitsupdates testen
        server_name  cp.uugrn.org;
: unattended-upgrade --dry-run


        access_log  /var/log/nginx/cp.uugrn.org.access.log;
; Neustartbedarf prüfen
        error_log  /var/log/nginx/cp.uugrn.org.error.log;
: test -f /var/run/reboot-required && cat /var/run/reboot-required


        ssl_certificate /etc/letsencrypt/live/cp.uugrn.org/fullchain.pem;
== CryptPad aktualisieren ==
        ssl_certificate_key /etc/letsencrypt/live/cp.uugrn.org/privkey.pem;


        include /etc/letsencrypt/options-ssl-nginx.conf;
Vor einem Update:
        ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
</pre>
-->


===== Anpassungen als CryptPad Benutzer =====
# Wartungsarbeiten über die üblichen UUGRN-Kanäle ankündigen.
<pre>
# [https://github.com/cryptpad/cryptpad/releases Release Notes] der Zielversion lesen.
su - cryptpad
# Diagnoseseite prüfen.
# Backup erstellen.
# CryptPad stoppen.
# Update als Benutzer cryptpad durchführen.
# CryptPad starten und testen.


cd ~/cryptpad
=== Backup vor dem Update ===
mkdir customize
cp customize.dist/application_config.js customize/
cp www/common/application_config_internal.js customize/application_config.js


nano customize/application_config.js
: /root/sichercp
</pre>


Ohne Anmeldung dürfen Pads und Dokumente erstellt werden. Sie werden nach 90 Tagen automatisch gelöscht. Es kann auf geteilte Dokumente zugegriffen werden.
=== Update ===
<pre>
AppConfig.disableAnonymousStore = true;
AppConfig.disableAnonymousPadCreation = false;
</pre>


Nach einem Neustart von cryptpad und nginx sollte sich die Seite aufrufen lassen:
; CryptPad stoppen
https://cp.uugrn.org/
: systemctl stop cryptpad


Nun ein Benutzerkonto einrichten und in der Konfiguration als Administrator eintragen.
; Zum CryptPad-Benutzer wechseln
: su - cryptpad
: cd /home/cryptpad/cryptpad


===== Benutzerkonto Administrator-Rechte geben =====
VERSION durch die gewünschte Version ersetzen.


1. öffentlichen Schlüssel kopieren. benutzereinstellungen.
: git fetch --depth 1 origin tag VERSION
2. Datei bearbeiten /home/cryptpad/cryptpad/config/config.js.
: git checkout VERSION
3. Diese stelle finden und wie im Beispiel Benutzer hinzufügen:
: npm ci
<pre>
: npm run install:components
    adminKeys: [
        "[cryptpad-user1@my.awesome.website/YZgXQxKR0Rcb6r6CmxHPdAGLVludrAF2lEnkbx1vVOo=]",
    ],
</pre>
3. CryptPad Server neu starten.


Registrierung deaktivieren
OnlyOffice bei Bedarf beziehungsweise entsprechend den Release Notes aktualisieren:
<pre>
https://cryptpad.mydomain.com/admin/#users
</pre>


Mehr https://docs.cryptpad.org/en/admin_guide/customization.html#restricting-guest-access
: ./install-onlyoffice.sh
 
Prüfen, ob sich die Beispielkonfiguration geändert hat:
 
: diff -u config/config.example.js config/config.js
 
Danach den CryptPad-Benutzer verlassen:
 
: exit
 
CryptPad starten:
 
: systemctl start cryptpad
: systemctl status cryptpad
 
Logs prüfen:
 
: journalctl -u cryptpad -n 100 --no-pager
 
Anschließend prüfen:
 
* https://cp.uugrn.org/checkup/
* Anmeldung
* bestehende Pads
* neues Pad
* gemeinsames Bearbeiten
* Datei-Upload
* Dokument, Tabelle und Präsentation mit OnlyOffice
 
== nginx aktualisieren ==
 
Vor einer manuellen nginx-Aktualisierung Konfiguration sichern:
 
: cp -a /etc/nginx /etc/nginx.backup.$(date +%F-%H%M)
 
Pakete aktualisieren:
 
: apt update
: apt upgrade
 
Konfiguration prüfen:
 
: nginx -t
 
Bei erfolgreicher Prüfung neu laden:
 
: systemctl reload nginx
 
Kontrolle:
 
: nginx -v
: journalctl -u nginx -b --no-pager
: certbot certificates
: certbot renew --dry-run
 
== Backup ==
 
Backup-Skript:
 
: /root/sichercp
 
Backup-Verzeichnis:
 
: /root/backups/
 
Aufbewahrung:
 
: 180 Tage
 
Aktuelle Größe eines Backups:
 
: ca. 133 MB
 
=== Gesicherte CryptPad-Daten ===
 
* data/
* datastore/
* block/
* blob/
* config/config.js
* customize/
* onlyoffice-conf/
* package.json
* package-lock.json
 
=== Zusätzlich gesichert ===
 
* nginx-Konfiguration
* SSH-Konfiguration
* nftables
* Fail2ban
* APT-Konfiguration
* sudo-Konfiguration
* systemd-Konfiguration
* journald-Konfiguration
* Paket- und Versionsinformationen
* Netzwerk- und Routinginformationen
 
=== Nicht gesichert ===
 
Reproduzierbare große Bestandteile werden nicht gesichert:
 
* .git/
* node_modules/
* www/
* www/common/onlyoffice/dist/
 
OnlyOffice und die npm-Abhängigkeiten werden bei einer Neuinstallation erneut installiert.
 
=== Backup starten ===
 
: /root/sichercp
 
=== Backups anzeigen ===
 
: ls -lh /root/backups/
 
Die Backups liegen derzeit ausschließlich lokal auf dem Server. Ein externes Backup sollte ergänzt werden, sobald ein geeignetes Ziel zur Verfügung steht.
 
== Restore ==
 
Ein Backup kann ohne Eingriff in das Produktivsystem testweise entpackt werden.
 
; Neuestes Backup auswählen
: BACKUP=$(ls -1t /root/backups/cp-backup-*.tar.gz | head -1)
 
; Testverzeichnis erstellen
: mkdir -p /root/restore-test
 
; Backup entpacken
: tar --acls --xattrs --numeric-owner -C /root/restore-test -xzf "$BACKUP"
 
Nach der Kontrolle:
 
: rm -rf /root/restore-test
 
=== Notfall-Restore ===
 
Bei vollständigem Verlust des Servers:
 
# Debian 13 installieren.
# Netzwerk und SSH-Zugang einrichten.
# Node.js 24 installieren.
# nginx installieren.
# CryptPad in der passenden Version installieren.
# npm-Abhängigkeiten installieren.
# OnlyOffice installieren.
# CryptPad stoppen.
# Daten aus dem Backup zurückspielen.
# Besitzer cryptpad:cryptpad kontrollieren.
# Serverkonfiguration zurückspielen.
# systemd neu laden.
# nginx, SSH, nftables und Fail2ban prüfen.
# Dienste starten.
# CryptPad vollständig testen.
 
== Installation / Neuaufbau ==
 
Dieser Abschnitt dokumentiert den grundlegenden Aufbau des Servers. Bei einer Neuinstallation zusätzlich immer die aktuelle CryptPad-Dokumentation beachten.
 
=== Voraussetzungen ===
 
Benötigte DNS-Namen:
 
* cp.uugrn.org
* sandboxcp.uugrn.org
 
Beide Namen zeigen auf den CryptPad-Server.
 
Benötigte Software:
 
* Git
* Node.js mit npm
* nginx
* Certbot
 
=== Node.js installieren ===
 
Aktuell wird Node.js 24 aus dem NodeSource-Repository verwendet.
 
: apt install curl ca-certificates gnupg
: curl -fsSL https://deb.nodesource.com/setup_24.x -o nodesource_setup.sh
: bash nodesource_setup.sh
: apt install nodejs
 
Prüfen:
 
: node --version
: npm --version
 
=== CryptPad-Benutzer anlegen ===
 
: useradd -m cryptpad -s /bin/bash
 
CryptPad läuft ausschließlich unter diesem Benutzer.
 
=== CryptPad installieren ===
 
Zum Benutzer wechseln:
 
: su - cryptpad
 
Repository klonen:
 
: git clone https://github.com/cryptpad/cryptpad.git cryptpad
: cd cryptpad
 
Gewünschte Release-Version auschecken:
 
: git fetch --tags
: git checkout VERSION
 
Abhängigkeiten installieren:
 
: npm ci
: npm run install:components
 
OnlyOffice installieren:
 
: ./install-onlyoffice.sh
 
Beispielkonfiguration übernehmen:
 
: cp config/config.example.js config/config.js
 
Konfiguration bearbeiten:
 
: nano config/config.js
 
Wichtige Domains:
 
* httpUnsafeOrigin: 'https://cp.uugrn.org'
* httpSafeOrigin: 'https://sandboxcp.uugrn.org'
 
=== systemd-Dienst ===
 
CryptPad wird über folgende Unit gestartet:
 
: /etc/systemd/system/cryptpad.service
 
Nach Anlegen oder Ändern der Unit:
 
: systemctl daemon-reload
: systemctl enable --now cryptpad
 
Prüfen:
 
: systemctl status cryptpad
 
Die aktuelle Unit enthält zusätzliche systemd-Härtung und sollte bei einem Neuaufbau aus dem Backup übernommen werden.
 
== nginx installieren ==
 
nginx wird aus dem offiziellen nginx.org-Repository installiert.
 
Voraussetzungen:
 
: apt install curl gnupg2 ca-certificates lsb-release debian-archive-keyring
 
Signaturschlüssel installieren:
 
: curl https://nginx.org/keys/nginx_signing.key | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
 
Fingerprint prüfen:
 
: gpg --dry-run --quiet --no-keyring --import --import-options import-show /usr/share/keyrings/nginx-archive-keyring.gpg
 
Erwarteter Fingerprint:
 
: 573BFD6B3D8FBC641079A6ABABF5BD827BD9BF62
 
Repository einrichten:
 
: echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] https://nginx.org/packages/debian trixie nginx" | tee /etc/apt/sources.list.d/nginx.list
 
nginx.org-Pakete bevorzugen:
 
: echo -e "Package: *\nPin: origin nginx.org\nPin: release o=nginx\nPin-Priority: 900\n" | tee /etc/apt/preferences.d/99nginx
 
Installieren:
 
: apt update
: apt install nginx
 
Aktivieren:
 
: systemctl enable --now nginx
 
Prüfen:
 
: nginx -v
: nginx -t
: systemctl status nginx
 
== TLS / Let's Encrypt ==
 
Certbot installieren:
 
: apt install certbot python3-certbot-nginx
 
Zertifikat für beide Domains anfordern:
 
: certbot --nginx certonly -d cp.uugrn.org -d sandboxcp.uugrn.org
 
Zertifikate liegen unter:
 
* /etc/letsencrypt/live/cp.uugrn.org/fullchain.pem
* /etc/letsencrypt/live/cp.uugrn.org/privkey.pem
 
Certbot-Timer prüfen:
 
: systemctl status certbot.timer
 
Erneuerung testen:
 
: certbot renew --dry-run
 
== nginx für CryptPad konfigurieren ==
 
Die von CryptPad mitgelieferte Beispielkonfiguration kann als Ausgangspunkt verwendet werden:
 
: wget https://raw.githubusercontent.com/cryptpad/cryptpad/main/docs/example.nginx.conf -O /etc/nginx/conf.d/cryptpad.conf
 
Danach insbesondere anpassen:
 
* Hauptdomain cp.uugrn.org
* Sandbox-Domain sandboxcp.uugrn.org
* Pfade der Let's-Encrypt-Zertifikate
* interne CryptPad-Ports
 
Vor jeder Aktivierung:
 
: nginx -t
 
Danach:
 
: systemctl reload nginx
 
Die aktuelle produktive nginx-Konfiguration befindet sich im Backup und sollte bei einem Wiederaufbau bevorzugt verwendet werden.
 
== CryptPad-Anpassungen ==
 
Lokale Anpassungen gehören nach:
 
: /home/cryptpad/cryptpad/customize/
 
Nicht direkt customize.dist oder Programmdateien verändern.
 
Beispiel:
 
: su - cryptpad
: cd /home/cryptpad/cryptpad
: cp customize.dist/application_config.js customize/application_config.js
: nano customize/application_config.js
 
Für die bisherige Instanz wurden unter anderem Einstellungen für den Gastzugriff verwendet:
 
* AppConfig.disableAnonymousStore = true;
* AppConfig.disableAnonymousPadCreation = false;
 
Nach Änderungen:
 
: systemctl restart cryptpad
 
Danach die Funktion im Browser prüfen.
 
== Aufräumjobs ==
 
CryptPad enthält Skripte zum Aufräumen inaktiver und archivierter Dokumente.
 
Vorhandene Crontab prüfen:
 
: crontab -u cryptpad -l
 
In der ursprünglichen Installation wurden folgende Jobs verwendet:
 
: 30 1 1,15 * * (cd /home/cryptpad/cryptpad; node scripts/evict-inactive.js > /dev/null)
: 30 1 7,22 * * (cd /home/cryptpad/cryptpad; node scripts/evict-archived.js > /dev/null)
 
Vor einer Neuinstallation prüfen, ob diese Jobs von der aktuell eingesetzten CryptPad-Version weiterhin empfohlen werden.
 
== CryptPad-Administrator einrichten ==
 
Zunächst ein normales CryptPad-Benutzerkonto anlegen.
 
In den Benutzereinstellungen den öffentlichen Schlüssel des Kontos kopieren.
 
Konfiguration bearbeiten:
 
: /home/cryptpad/cryptpad/config/config.js
 
Den Schlüssel unter adminKeys eintragen, beispielsweise:
 
: adminKeys: [
:    "[cryptpad-user@cp.uugrn.org/ÖFFENTLICHER-SCHLÜSSEL]",
: ],
 
CryptPad anschließend neu starten:
 
: systemctl restart cryptpad
 
Administrationsoberfläche:
 
* https://cp.uugrn.org/admin/
 
Dort können unter anderem Registrierung und Benutzerverwaltung konfiguriert werden.
 
== Wichtige Pfade ==
 
{| class="wikitable"
! Bereich
! Pfad
|-
| CryptPad
| /home/cryptpad/cryptpad
|-
| CryptPad-Konfiguration
| /home/cryptpad/cryptpad/config/config.js
|-
| Anpassungen
| /home/cryptpad/cryptpad/customize/
|-
| nginx
| /etc/nginx/
|-
| SSH
| /etc/ssh/
|-
| Firewall
| /etc/nftables.conf
|-
| Fail2ban
| /etc/fail2ban/
|-
| systemd-Unit
| /etc/systemd/system/cryptpad.service
|-
| Backup-Skript
| /root/sichercp
|-
| Backups
| /root/backups/
|}
 
== Regelmäßige Kontrolle ==
 
; Dienste
: systemctl --failed
 
; Ports
: ss -lntup
 
; Firewall
: nft list ruleset
 
; Fail2ban
: fail2ban-client status sshd
 
; Updates
: apt list --upgradable
 
; Speicherplatz
: df -h
 
; CryptPad-Daten
: du -sh /home/cryptpad/cryptpad/data /home/cryptpad/cryptpad/datastore /home/cryptpad/cryptpad/block /home/cryptpad/cryptpad/blob
 
; Backups
: du -sh /root/backups
 
; Warnungen
: journalctl -p warning..alert --since today
```

Aktuelle Version vom 2. August 2026, 11:16 Uhr

cp.uugrn.org[Bearbeiten]

Bereich Wert
Admin-Kontakt sh[at]uugrn.org
Hostname cp.uugrn.org
Aufgabe Plattform für kollaborative und verschlüsselte Dokumente
Produktiv seit 06.01.2025
Hosting Hetzner CX22, 2 CPU, 4 GB RAM, 40 GB SSD
Betriebssystem Debian 13.6 (Trixie)
CryptPad v2026.5.1
nginx 1.30.4
Node.js 24.18.1

Beschreibung[Bearbeiten]

CryptPad ermöglicht die gemeinsame Bearbeitung von Texten, Tabellen, Präsentationen, Kanban-Boards und weiteren Dokumenten. Die Inhalte werden verschlüsselt auf dem Server gespeichert.

Instanz:

Sandbox-Domain:

Diagnose:

Dokumentation und Unterstützung[Bearbeiten]

Betrieb[Bearbeiten]

CryptPad läuft unter dem Benutzer cryptpad.

Installationsverzeichnis:

/home/cryptpad/cryptpad

Dienste[Bearbeiten]

CryptPad
systemctl status cryptpad
systemctl restart cryptpad
nginx
systemctl status nginx
nginx -t
systemctl reload nginx
SSH
systemctl status ssh
Firewall
systemctl status nftables
nft list ruleset
Fail2ban
systemctl status fail2ban
fail2ban-client status sshd
Fehlerhafte Dienste
systemctl --failed

Logs und Diagnose[Bearbeiten]

CryptPad-Log
journalctl -u cryptpad -f
nginx-Log
journalctl -u nginx -b
Offene Ports
ss -lntup
Aktive TCP-Verbindungen
ss -ant
Häufigste IP-Adressen im nginx-Zugriffslog
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head

CryptPad kann zur Fehlersuche auch direkt gestartet werden. Zuvor muss der systemd-Dienst gestoppt werden.

Dienst stoppen
systemctl stop cryptpad
Als CryptPad-Benutzer
su - cryptpad
cd /home/cryptpad/cryptpad
npm start

Danach den manuellen Prozess beenden und CryptPad wieder über systemd starten.

systemctl start cryptpad

SSH[Bearbeiten]

Der direkte SSH-Zugang als root sowie die Passwortanmeldung sind deaktiviert.

Administrativer Benutzer:

adminBenutzer

Anmeldung:

ssh -4 -i ~/.ssh/ssh-rsa-private-4096-key adminBenutzer@cp.uugrn.org

Anschließend:

sudo -i

Wesentliche SSH-Härtung:

  • PermitRootLogin no
  • PasswordAuthentication no
  • KbdInteractiveAuthentication no
  • PubkeyAuthentication yes
  • AllowGroups sshusers
  • LoginGraceTime 30
  • MaxAuthTries 3
  • MaxStartups 10:30:30
  • PerSourceMaxStartups 3
Konfiguration prüfen
sshd -t
Effektive Konfiguration
sshd -T

Firewall und Fail2ban[Bearbeiten]

Öffentlich erreichbar sind:

Port Dienst
22/tcp SSH
80/tcp HTTP
443/tcp HTTPS

CryptPad selbst ist nur über Loopback erreichbar, unter anderem auf Port 3000 und 3003.

nftables:

  • INPUT DROP
  • FORWARD DROP
  • OUTPUT ACCEPT

Konfiguration:

/etc/nftables.conf

Fail2ban schützt SSH zusätzlich.

Konfiguration:

/etc/fail2ban/jail.d/sshd.local

Einstellungen:

  • 4 Fehlversuche innerhalb von 10 Minuten
  • Sperrdauer 1 Stunde
  • Backend systemd
  • Sperren über nftables
  • usedns = no

Normalerweise sind folgende nftables-Tabellen vorhanden:

  • table inet filter
  • table inet f2b-table

Nach einem manuellen Neustart von nftables auch Fail2ban neu starten:

systemctl restart nftables
systemctl restart fail2ban

Updates[Bearbeiten]

Debian-Sicherheitsupdates werden automatisch über unattended-upgrades installiert.

Nicht automatisch aktualisiert werden:

  • normale Debian-Updates
  • Node.js / NodeSource
  • nginx
  • CryptPad

Automatische Neustarts sind deaktiviert.

Updates prüfen
apt update
apt list --upgradable
Automatische Sicherheitsupdates testen
unattended-upgrade --dry-run
Neustartbedarf prüfen
test -f /var/run/reboot-required && cat /var/run/reboot-required

CryptPad aktualisieren[Bearbeiten]

Vor einem Update:

  1. Wartungsarbeiten über die üblichen UUGRN-Kanäle ankündigen.
  2. Release Notes der Zielversion lesen.
  3. Diagnoseseite prüfen.
  4. Backup erstellen.
  5. CryptPad stoppen.
  6. Update als Benutzer cryptpad durchführen.
  7. CryptPad starten und testen.

Backup vor dem Update[Bearbeiten]

/root/sichercp

Update[Bearbeiten]

CryptPad stoppen
systemctl stop cryptpad
Zum CryptPad-Benutzer wechseln
su - cryptpad
cd /home/cryptpad/cryptpad

VERSION durch die gewünschte Version ersetzen.

git fetch --depth 1 origin tag VERSION
git checkout VERSION
npm ci
npm run install:components

OnlyOffice bei Bedarf beziehungsweise entsprechend den Release Notes aktualisieren:

./install-onlyoffice.sh

Prüfen, ob sich die Beispielkonfiguration geändert hat:

diff -u config/config.example.js config/config.js

Danach den CryptPad-Benutzer verlassen:

exit

CryptPad starten:

systemctl start cryptpad
systemctl status cryptpad

Logs prüfen:

journalctl -u cryptpad -n 100 --no-pager

Anschließend prüfen:

  • https://cp.uugrn.org/checkup/
  • Anmeldung
  • bestehende Pads
  • neues Pad
  • gemeinsames Bearbeiten
  • Datei-Upload
  • Dokument, Tabelle und Präsentation mit OnlyOffice

nginx aktualisieren[Bearbeiten]

Vor einer manuellen nginx-Aktualisierung Konfiguration sichern:

cp -a /etc/nginx /etc/nginx.backup.$(date +%F-%H%M)

Pakete aktualisieren:

apt update
apt upgrade

Konfiguration prüfen:

nginx -t

Bei erfolgreicher Prüfung neu laden:

systemctl reload nginx

Kontrolle:

nginx -v
journalctl -u nginx -b --no-pager
certbot certificates
certbot renew --dry-run

Backup[Bearbeiten]

Backup-Skript:

/root/sichercp

Backup-Verzeichnis:

/root/backups/

Aufbewahrung:

180 Tage

Aktuelle Größe eines Backups:

ca. 133 MB

Gesicherte CryptPad-Daten[Bearbeiten]

  • data/
  • datastore/
  • block/
  • blob/
  • config/config.js
  • customize/
  • onlyoffice-conf/
  • package.json
  • package-lock.json

Zusätzlich gesichert[Bearbeiten]

  • nginx-Konfiguration
  • SSH-Konfiguration
  • nftables
  • Fail2ban
  • APT-Konfiguration
  • sudo-Konfiguration
  • systemd-Konfiguration
  • journald-Konfiguration
  • Paket- und Versionsinformationen
  • Netzwerk- und Routinginformationen

Nicht gesichert[Bearbeiten]

Reproduzierbare große Bestandteile werden nicht gesichert:

  • .git/
  • node_modules/
  • www/
  • www/common/onlyoffice/dist/

OnlyOffice und die npm-Abhängigkeiten werden bei einer Neuinstallation erneut installiert.

Backup starten[Bearbeiten]

/root/sichercp

Backups anzeigen[Bearbeiten]

ls -lh /root/backups/

Die Backups liegen derzeit ausschließlich lokal auf dem Server. Ein externes Backup sollte ergänzt werden, sobald ein geeignetes Ziel zur Verfügung steht.

Restore[Bearbeiten]

Ein Backup kann ohne Eingriff in das Produktivsystem testweise entpackt werden.

Neuestes Backup auswählen
BACKUP=$(ls -1t /root/backups/cp-backup-*.tar.gz | head -1)
Testverzeichnis erstellen
mkdir -p /root/restore-test
Backup entpacken
tar --acls --xattrs --numeric-owner -C /root/restore-test -xzf "$BACKUP"

Nach der Kontrolle:

rm -rf /root/restore-test

Notfall-Restore[Bearbeiten]

Bei vollständigem Verlust des Servers:

  1. Debian 13 installieren.
  2. Netzwerk und SSH-Zugang einrichten.
  3. Node.js 24 installieren.
  4. nginx installieren.
  5. CryptPad in der passenden Version installieren.
  6. npm-Abhängigkeiten installieren.
  7. OnlyOffice installieren.
  8. CryptPad stoppen.
  9. Daten aus dem Backup zurückspielen.
  10. Besitzer cryptpad:cryptpad kontrollieren.
  11. Serverkonfiguration zurückspielen.
  12. systemd neu laden.
  13. nginx, SSH, nftables und Fail2ban prüfen.
  14. Dienste starten.
  15. CryptPad vollständig testen.

Installation / Neuaufbau[Bearbeiten]

Dieser Abschnitt dokumentiert den grundlegenden Aufbau des Servers. Bei einer Neuinstallation zusätzlich immer die aktuelle CryptPad-Dokumentation beachten.

Voraussetzungen[Bearbeiten]

Benötigte DNS-Namen:

  • cp.uugrn.org
  • sandboxcp.uugrn.org

Beide Namen zeigen auf den CryptPad-Server.

Benötigte Software:

  • Git
  • Node.js mit npm
  • nginx
  • Certbot

Node.js installieren[Bearbeiten]

Aktuell wird Node.js 24 aus dem NodeSource-Repository verwendet.

apt install curl ca-certificates gnupg
curl -fsSL https://deb.nodesource.com/setup_24.x -o nodesource_setup.sh
bash nodesource_setup.sh
apt install nodejs

Prüfen:

node --version
npm --version

CryptPad-Benutzer anlegen[Bearbeiten]

useradd -m cryptpad -s /bin/bash

CryptPad läuft ausschließlich unter diesem Benutzer.

CryptPad installieren[Bearbeiten]

Zum Benutzer wechseln:

su - cryptpad

Repository klonen:

git clone https://github.com/cryptpad/cryptpad.git cryptpad
cd cryptpad

Gewünschte Release-Version auschecken:

git fetch --tags
git checkout VERSION

Abhängigkeiten installieren:

npm ci
npm run install:components

OnlyOffice installieren:

./install-onlyoffice.sh

Beispielkonfiguration übernehmen:

cp config/config.example.js config/config.js

Konfiguration bearbeiten:

nano config/config.js

Wichtige Domains:

systemd-Dienst[Bearbeiten]

CryptPad wird über folgende Unit gestartet:

/etc/systemd/system/cryptpad.service

Nach Anlegen oder Ändern der Unit:

systemctl daemon-reload
systemctl enable --now cryptpad

Prüfen:

systemctl status cryptpad

Die aktuelle Unit enthält zusätzliche systemd-Härtung und sollte bei einem Neuaufbau aus dem Backup übernommen werden.

nginx installieren[Bearbeiten]

nginx wird aus dem offiziellen nginx.org-Repository installiert.

Voraussetzungen:

apt install curl gnupg2 ca-certificates lsb-release debian-archive-keyring

Signaturschlüssel installieren:

curl https://nginx.org/keys/nginx_signing.key | gpg --dearmor | tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null

Fingerprint prüfen:

gpg --dry-run --quiet --no-keyring --import --import-options import-show /usr/share/keyrings/nginx-archive-keyring.gpg

Erwarteter Fingerprint:

573BFD6B3D8FBC641079A6ABABF5BD827BD9BF62

Repository einrichten:

echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg] https://nginx.org/packages/debian trixie nginx" | tee /etc/apt/sources.list.d/nginx.list

nginx.org-Pakete bevorzugen:

echo -e "Package: *\nPin: origin nginx.org\nPin: release o=nginx\nPin-Priority: 900\n" | tee /etc/apt/preferences.d/99nginx

Installieren:

apt update
apt install nginx

Aktivieren:

systemctl enable --now nginx

Prüfen:

nginx -v
nginx -t
systemctl status nginx

TLS / Let's Encrypt[Bearbeiten]

Certbot installieren:

apt install certbot python3-certbot-nginx

Zertifikat für beide Domains anfordern:

certbot --nginx certonly -d cp.uugrn.org -d sandboxcp.uugrn.org

Zertifikate liegen unter:

  • /etc/letsencrypt/live/cp.uugrn.org/fullchain.pem
  • /etc/letsencrypt/live/cp.uugrn.org/privkey.pem

Certbot-Timer prüfen:

systemctl status certbot.timer

Erneuerung testen:

certbot renew --dry-run

nginx für CryptPad konfigurieren[Bearbeiten]

Die von CryptPad mitgelieferte Beispielkonfiguration kann als Ausgangspunkt verwendet werden:

wget https://raw.githubusercontent.com/cryptpad/cryptpad/main/docs/example.nginx.conf -O /etc/nginx/conf.d/cryptpad.conf

Danach insbesondere anpassen:

  • Hauptdomain cp.uugrn.org
  • Sandbox-Domain sandboxcp.uugrn.org
  • Pfade der Let's-Encrypt-Zertifikate
  • interne CryptPad-Ports

Vor jeder Aktivierung:

nginx -t

Danach:

systemctl reload nginx

Die aktuelle produktive nginx-Konfiguration befindet sich im Backup und sollte bei einem Wiederaufbau bevorzugt verwendet werden.

CryptPad-Anpassungen[Bearbeiten]

Lokale Anpassungen gehören nach:

/home/cryptpad/cryptpad/customize/

Nicht direkt customize.dist oder Programmdateien verändern.

Beispiel:

su - cryptpad
cd /home/cryptpad/cryptpad
cp customize.dist/application_config.js customize/application_config.js
nano customize/application_config.js

Für die bisherige Instanz wurden unter anderem Einstellungen für den Gastzugriff verwendet:

  • AppConfig.disableAnonymousStore = true;
  • AppConfig.disableAnonymousPadCreation = false;

Nach Änderungen:

systemctl restart cryptpad

Danach die Funktion im Browser prüfen.

Aufräumjobs[Bearbeiten]

CryptPad enthält Skripte zum Aufräumen inaktiver und archivierter Dokumente.

Vorhandene Crontab prüfen:

crontab -u cryptpad -l

In der ursprünglichen Installation wurden folgende Jobs verwendet:

30 1 1,15 * * (cd /home/cryptpad/cryptpad; node scripts/evict-inactive.js > /dev/null)
30 1 7,22 * * (cd /home/cryptpad/cryptpad; node scripts/evict-archived.js > /dev/null)

Vor einer Neuinstallation prüfen, ob diese Jobs von der aktuell eingesetzten CryptPad-Version weiterhin empfohlen werden.

CryptPad-Administrator einrichten[Bearbeiten]

Zunächst ein normales CryptPad-Benutzerkonto anlegen.

In den Benutzereinstellungen den öffentlichen Schlüssel des Kontos kopieren.

Konfiguration bearbeiten:

/home/cryptpad/cryptpad/config/config.js

Den Schlüssel unter adminKeys eintragen, beispielsweise:

adminKeys: [
"[cryptpad-user@cp.uugrn.org/ÖFFENTLICHER-SCHLÜSSEL]",
],

CryptPad anschließend neu starten:

systemctl restart cryptpad

Administrationsoberfläche:

Dort können unter anderem Registrierung und Benutzerverwaltung konfiguriert werden.

Wichtige Pfade[Bearbeiten]

Bereich Pfad
CryptPad /home/cryptpad/cryptpad
CryptPad-Konfiguration /home/cryptpad/cryptpad/config/config.js
Anpassungen /home/cryptpad/cryptpad/customize/
nginx /etc/nginx/
SSH /etc/ssh/
Firewall /etc/nftables.conf
Fail2ban /etc/fail2ban/
systemd-Unit /etc/systemd/system/cryptpad.service
Backup-Skript /root/sichercp
Backups /root/backups/

Regelmäßige Kontrolle[Bearbeiten]

Dienste
systemctl --failed
Ports
ss -lntup
Firewall
nft list ruleset
Fail2ban
fail2ban-client status sshd
Updates
apt list --upgradable
Speicherplatz
df -h
CryptPad-Daten
du -sh /home/cryptpad/cryptpad/data /home/cryptpad/cryptpad/datastore /home/cryptpad/cryptpad/block /home/cryptpad/cryptpad/blob
Backups
du -sh /root/backups
Warnungen
journalctl -p warning..alert --since today

```

Abgerufen von „https://wiki.uugrn.org/index.php?title=Maschinenraum/cp.uugrn.org&oldid=14543“