התקנה ואבטחה של Webmin ב-Ubuntu 24.04

מה אתם בונים

Webmin היא פאנל בקרה מבוסס דפדפן עבור שרת Linux מלא — משתמשים, חבילות, משימות cron, firewall, Apache, BIND, דיסקים ועוד מאה מודולים אחרים — הנגישים דרך HTTPS בפורט 10000. תהליך ההתקנה כולל שלוש פקודות ואורך כדקה אחת. הסיבה שמדריך זה מתמקד בעיקר בחלק השני היא ש-Webmin מתחבר כ-root ויכול לבצע כל פעולה שמשתמש root יכול לבצע. Webmin פתוח לכולם או ללא אימות אינו "סיכון שיש לנהל"; מדובר בפריצה מלאה של השרת עם דף התחברות לפניו. לכן, התקינו אותו תוך עשר דקות, ואז הקדישו את שאר השעה לוודא שרק אתם יכולים לגשת אליו.

דרישות קדם ואזהרה אחת כנה

שרת VPS חדש עם Ubuntu 24.04 KVM עם הרשאות root או משתמש sudo. Webmin מבוסס Perl וקל — 1 GB של RAM הוא מספיק, והוא צורך פחות מרבע ג'יגהבייט במצב Idle. הוא מאזין בפורט TCP 10000 דרך שרת ה-web המובנה שלו (miniserv.pl), ולא דרך Apache או nginx, לכן אין צורך להתקין שום דבר אחר מראש.

יש להחליט על שני דברים לפני תחילת העבודה. ראשית, החשבון שבו תתחברו: Webmin מבצע אימות מול חשבונות Unix באמצעות PAM, לכן תתחברו כ-root או כמשתמש בקבוצת sudo באמצעות ה-Unix password של אותו חשבון. ב-Cloud images המשתמש ברירת המחדל מוגדר בדרך כלל עם מפתח (key) בלבד ללא סיסמה, ו-Webmin אינו יכול להתחבר לחשבון ללא סיסמה. הגדירו סיסמה באמצעות sudo passwd youruser תחילה, אחרת ההתחברות תיכשל ללא קשר למה שתקלידו.

שנית, וזו האזהרה: אל תפתחו פשוט את פורט 10000 לאינטרנט ותעזבו. החליטו עכשיו אם תתחברו ל-Webmin דרך SSH tunnel (מומלץ, שום דבר לא חשוף) או תגבילו את הגישה לכתובת ה-IP שלכם בלבד. ההחלטה הזו משפיעה על כל שלב בהמשך, לכן קראו את שתי האפשרויות לפני שתגעו ב-firewall.

התקנת Webmin ממאגר המקורות הרשמי

Webmin מפרסמת מאגר apt חתום. סקריפט ההתקנה מוסיף את המאגר ואת מפתח ה-GPG שלו, כך שפקודות apt upgrade עתידיות ימשכו את Webmin כמו כל חבילה אחרת. כך תקבל עדכונים מאומתים במקום להוריד .deb שאינו מתעדכן בעצמו.

curl -o webmin-setup-repo.sh https://raw.githubusercontent.com/webmin/webmin/master/webmin-setup-repo.sh
sudo sh webmin-setup-repo.sh

הסקריפט מדפיס את הפעולות שיבצע ושואל את Setup repository? (y/N) — בחר ב-y. לאחר סיום התהליך, התקן את החבילה. הדגל --install-recommends מוריד את התלויות הנפוצות של Perl ו-SSL, כדי שמודולים בודדים לא ייכשלו מאוחר יותר בשגיאות של חוסר בספריות.

sudo apt-get install --install-recommends webmin

Webmin שינתה את שם הסקריפט הזה בעבר — מדריכים ישנים מתייחסים ל-setup-repos.sh — לכן אם ה-URL המקורי מחזיר שגיאת 404, קח את שורת הפקודה העדכנית ישירות מ-webmin.com/download במקום להשתמש בשם קבוע. התקנה תקינה מסתיימת בשורה הדומה ל-Webmin install complete. You can now login to https://your-host:10000/ as root. השירות מופעל ורץ, קובץ ההגדרות נמצא תחת /etc/webmin, הבקשות נרשמות ל-/var/webmin/miniserv.log, וניסיונות התחברות שנכשלו נשלחים ל-syslog — ב-Ubuntu 24.04, ל-systemd journal.

ודא שהשירות פעיל ומקשיב לפני שתפתח דפדפן:

sudo systemctl status webmin --no-pager
sudo ss -tlnp | grep 10000

עליך לקבל סטטוס active (running) ושורה המציגה את miniserv.pl המקושר ל-0.0.0.0:10000 — כתובת זו תשתנה ל-127.0.0.1:10000 לאחר שתשתמש בנתיב ה-tunnel המפורט להלן. אם ss לא מציג דבר בפורט 10000, Webmin לא עלה; קרא את journalctl -u webmin -n 50 לפני שתמשיך.

התחברות ראשונה, ואזהרת תעודה

הפנה את הדפדפן ל-https://YOUR_SERVER_IP:10000. במערכת חדשה מתרחשים שני דברים.

אם ufw פעיל — הגרסה הרשמית של Ubuntu מגיעה ללא הפעלה מראש, אך ספקי ענן רבים מפעילים אותו מראש — הדף לא ייטען כלל, נושא זה מפורט תחת מצבי השגיאה להלן. אם הפורט פתוח, הדפדפן יציג חסימה מלאה: "Your connection is not private" עם הקוד NET::ERR_CERT_AUTHORITY_INVALID ב-Chrome, או SEC_ERROR_UNKNOWN_ISSUER / "Warning: Potential Security Risk Ahead" ב-Firefox. זהו מצב צפוי ואינו מעיד על פריצה. Webmin יצר תעודה בעלת חתימה עצמית (self-signed) בזמן ההתקנה (/etc/webmin/miniserv.pem), ומכיוון שאין רשות אישורים (CA) המאשרת אותה, הדפדפן מסרב לבטוח בה באופן שקט. החיבור עדיין מוצפן; הוא פשוט אינו מאושר על ידי גורם שלישי. לחץ על המשך (Advanced, ואז Proceed) כרגע — נחליף תעודה זו בצורה נכונה בהמשך המדריך.

התחבר באמצעות root או משתמש ה-sudo והסיסמה שלו, ותגיע לדף ה-System Information. טעות נפוצה כאן היא הקלדת http:// במקום https://. miniserv מגיב ב-HTTP רגיל בפורט זה עם הטקסט "This web server is running in SSL mode. Try the URL https://..." — הפתרון הוא פשוט לשנות את http ל-https בשורת הכתובת.

החלטת האבטחה: כיצד תתחברו ל-Webmin?

כעת החלק החשוב. פאנל עם הרשאות root לא אמור להיות חשוף לאינטרנט הפתוח ולכל סורק בגלוי. קיימות שתי אפשרויות הגנה, לפי סדר עדיפות.

השימוש ב-SSH tunnel ב-Option B הוא עדיף, מכיוון שהוא אינו חושף שום פרט. ה-IP allowlist ב-Option A מקובל רק אם כתובת ה-IP שלכם היא סטטית. אי-בחירה באף אחת מהאפשרויות הללו היא הטעות המדויקת שכל המדריך הזה נועד למנוע. אם אתם מעדיפים לגשת ל-Webmin דרך רשת פרטית, הצבו את השרת מאחורי self-hosted WireGuard VPN והגדירו את Webmin כך שיהיה מוגבל לכתובת ה-tunnel במקום לכתובת הציבורית.

אפשרות A: הגבלת Webmin לכתובת ה-IP שלך

בפאנל, פתח את Webmin, לאחר מכן את Webmin Configuration, ואז את IP Access Control. בחר ב-"Only allow from listed addresses" והזן את כתובת ה-IP הציבורית שלך, אותה ניתן למצוא על ידי הרצת הפקודה curl ifconfig.me במחשב הנייד שלך. שמור את השינויים. Webmin כותב זאת בשורה allow= בקובץ /etc/webmin/miniserv.conf ומבצע הפעלה מחדש לעצמו.

מלכודת: אם כתובת ה-IP הביתית שלך היא דינמית ומשתנה, או אם תטעה בהקלדת הכתובת, תיחסם מהמערכת. הדפדפן יציג "Access denied for <your IP>" ללא טופס התחברות, ולא תהיה דרך גישה דרך הדפדפן. ניתן לתקן זאת דרך קונסול השרת באמצעות SSH או באמצעות VNC של ספק השירות:

sudo nano /etc/webmin/miniserv.conf
# find the line that begins  allow=
# correct your IP, or delete the whole line to allow all again
sudo systemctl restart webmin

מחיקת השורה allow= תשיב את הגישה הפתוחה במלואה. בצע פעולה זו רק לצורך שחזור, ולאחר מכן הגדר מיד ערך תקין.

Option B: bind to localhost and tunnel over SSH (recommended)

שיטה זו עדיפה על כל allowlist: אל תגדירו את השרת להאזין לממשק הציבורי. הגדירו את miniserv להאזין ל-loopback בלבד, ולאחר מכן התחברו אליו דרך tunnel של SSH מוצפן שאתם כבר סומכים עליו.

ערוכו את /etc/webmin/miniserv.conf והוסיפו, או שנו, שורה אחת:

bind=127.0.0.1

הפעילו מחדש באמצעות sudo systemctl restart webmin. כעת Webmin אינו נגיש מהאינטרנט — סריקת פורטים בפורט 10000 לא תמצא דבר, ובדיקת ה-ss שבוצעה קודם לכן תראה שהוא מאזין ל-127.0.0.1:10000 בלבד. מהמחשב האישי שלכם, פתחו tunnel:

ssh -L 10000:localhost:10000 youruser@YOUR_SERVER_IP

השאירו את ה-session פתוח ועברו לכתובת https://localhost:10000. התעבורה עוברת בתוך SSH, שכבר עבר אימות באמצעות המפתח שלכם והוא מוצפן. לכן ניתן לקבל בבטחה את ה-self-signed certificate — שכבת ה-SSH היא זו שמספקת את ההגנה בפועל. סגירת ה-SSH session תנתק את הגישה ל-Webmin. אין צורך ב-allowlist, שום דבר אינו חשוף, ואין שירות נוסף שצריך להגן עליו.

אם תגדירו את bind=127.0.0.1 ותשאירו את ה-tunnel פתוח, הגישה מרחוק פשוט תיעצר — זהו תפקוד תקין של התכונה ולא תקלה. ניתן לשחזר את הגישה באותו אופן כמו ב-Option A: דרך ה-console, הסירו את שורת bind או הגדירו את bind=0.0.0.0, ולאחר מכן הפעילו מחדש. זוהי אותה הרגל tunneling המשמשת אתכם כדי לגשת ל-מחשב פיתוח מרחוק המריץ Claude Code ב-tmux — session SSH אחד, הכל פרטי, ושום דבר נוסף אינו מאזין בממשק הציבורי.

החלפת תעודה חתומה עצמית (self-signed) בתעודה אמיתית

אם אתם חושפים את Webmin תחת שם מארח (hostname) לפי Option A, תוכלו לבטל את אזהרת הדפדפן באמצעות תעודת Let's Encrypt אמיתית. עליכם להחזיק בשם DNS — לדוגמה panel.example.com — עם רשומת A המצביעה אל השרת, ומנגנון שעונה על אתגר ה-HTTP בפורט 80 במהלך תהליך האימות.

Webmin כולל אפשרות מובנית לכך: Webmin, לאחר מכן Webmin Configuration, לאחר מכן SSL Encryption, ולאחר מכן לשונית Let's Encrypt. הזינו את שם המארח, כוון את ה-"website root directory" לנתיב המוגש בפורט 80 עבור אותו דומיין, ולחץ על בקשת התעודה (request). Webmin ישיג את התעודה, יעדכן את השורות certfile= ו-keyfile= בקובץ miniserv.conf עבורכם, ויחדש אותה באופן אוטומטי לפני פקיעת תוקפה. רעננו את הדף וסמל המנעול יהיה תקין.

הקושי היחיד: השרת הפנימי של Webmin פועל על פורט 10000 ולא על פורט 80, לכן אתגר ה-http-01 דורש שרת אינטרנט אמיתי — Apache או nginx — שעונה עבור panel.example.com בפורט 80, או שימוש באימות מבוסס DNS. בשרת המריץ Webmin בלבד ללא שום שירות אחר בפורט 80, הבקשה תיכשל עם שגיאת אימות, עד שתספקו ל-Let's Encrypt דרך לגשת לקובץ האתגר. המנגנונים — רשומות DNS, אתגר פורט 80 וחידוש — זהים להנפקת תעודה עבור כל אתר אינטרנט. אם אתם זקוקים להסבר מעמיק, המדריך Let's Encrypt TLS certificates with Certbot and nginx guide מפרט את תהליך האימות והגדרות ה-DNS. אם בחרתם בשיטת ה-SSH-tunnel, ניתן לדלג על סעיף זה לחלוטין: תעודה חתומה עצמית תקינה לשימוש דרך SSH, ותעודה אמיתית שהונפקה עבור panel.example.com תגרום רק לאזהרת חוסר התאמה בשם (name-mismatch) כאשר תגשרו ל-https://localhost:10000 בכל מקרה.

הפעלת אימות דו-שלבי

סיסמה בלבד אינה מספקת הגנה מספקת עבור פאנל ה-root, לכן יש להוסיף גורם אימות שני. פתחו את Webmin, לאחר מכן Webmin Configuration, ואז Two-Factor Authentication. בחרו בספק Google Authenticator — זהו תקן TOTP סטנדרטי, ולכן הוא עובד עם Authy, 1Password, או כל אפליקציית authenticator אחרת — ולחצו על שמירה. Webmin מתקינה את מודול ה-Perl הנדרש (Authen::OATH בתוספת מחולל QR) ומפעילה את התכונה; שלב זה לבדו עדיין אינו מגן על אף חשבון.

לאחר מכן, כל חשבון נרשם עם המכשיר שלו. לאחר הפעלת ה-2FA, פתחו את Webmin, לאחר מכן Webmin Users, בחרו את החשבון, בחרו ב-Enable Two-Factor For User, ו-Webmin תציג קוד QR; סרקו אותו באמצעות האפליקציה והזינו קוד אחד שנוצר כדי לאשר. מרגע זה, תהליך ההתחברות יבקש את ה-token בן ששת הספרות לאחר הסיסמה. בצעו את הרישום לפני שאתם מתנתקים — אם ה-2FA נדרש אך החשבון מעולם לא סרק קוד, ניתן עדיין לבטל את הדרישה דרך ה-console, אך קל הרבה יותר לבצע את הרישום מראש.

הוספת Fail2ban לחסימת ניסיונות התחברות ב brute-force

גם נקודת קצה (endpoint) מוגבלת להתחברות צריכה להעניש כישלונות חוזרים ונשנים. Webmin מדווח על כישלונות התחברות ל-syslog בפורמט webmin[12345]: Invalid login as root from 10.0.0.9, או Non-existent login as ... עבור שם משתמש שאינו חשבון Unix — ב-Ubuntu 24.04 שורות אלו נשמרות ב-systemd journal, מכיוון שבתצורת ברירת מחדל אין /var/log/auth.log. Fail2ban כולל פילטר webmin-auth מובנה שמתאים בדיוק לשתי השורות הללו, וה-jail להלן מגדיר את backend = systemd בעצמו, לכן אין צורך ב-regex או בנתיב לוג מותאם אישית.

צור את /etc/fail2ban/jail.d/webmin.local:

[webmin-auth]
enabled  = true
port     = 10000
filter   = webmin-auth
backend  = systemd
maxretry = 4
bantime  = 1h

טען מחדש באמצעות sudo systemctl restart fail2ban, ולאחר מכן ודא שה-jail פעיל:

sudo fail2ban-client status webmin-auth

עליך לראות את ה-jail ברשימה עם מונה חסימות (ban counter) של אפס בתחילה (ב-journal backend אין שורת File list:). כדי לוודא שהחיבור תקין מקצה לקצה, נסה להתחבר בכוונה מספר פעמים מרשת אחרת, ולאחר מכן הרץ שוב את פקודת ה-status וראה את Currently banned עולה. אם הערך אינו עולה, ודא שאתה לא בודק מכתובת שנמצאת ב-ignoreip של Fail2ban, והרץ את journalctl SYSLOG_IDENTIFIER=webmin בשרת כדי לוודא ששורות ה-Invalid login אכן נכתבות. אם Fail2ban עדיין לא מותקן במערכת זו, המדריך Fail2ban on Ubuntu 24.04 for SSH מסביר את ההתקנה ואת ה-SSH jail שעליך להפעיל לצד ה-jail הזה.

הגבלת הגישה של כל משתמש Webmin

לא כל משתמש הזקוק לפאנל זקוק להרשאות root על כל המערכת. תחת Webmin, ואז Webmin Users, ניתן ליצור משתמשים נוספים ולהקצות לכל אחד רק את המודולים הנדרשים — לדוגמה, מפעיל גיבויים שרואה רק את המודולים cron ו-filesystem. עריכת משתמש מציגה רשימת בדיקה (checklist) של כל המודולים; ביטול סימון של מודול מסוים מסיר אותו מתפריט המשתמש וחוסם את ה-URLs הרלוונטיים. זוהי הגנה רב-שכבתית (defence in depth): גם אם תיגנב סשן Webmin עם הרשאות נמוכות, לא ניתן יהיה לשכתב את /etc/shadow כאשר מודול ה-Users אינו מופיע ברשימתו.

Keeping Webmin updated

מכיוון שהתקנת את החבילה מתוך ה-apt repository, sudo apt update && sudo apt upgrade ימשוך גרסאות חדשות של Webmin יחד עם שאר רכיבי המערכת. יש להתקין עדכונים באופן מיידי — לוח בקרה הוא יעד מועדף לתקיפות. ניתן לעדכן את Webmin גם דרך Webmin, לאחר מכן Webmin Configuration, ואז Upgrade Webmin, אך השימוש ב-apt נקי יותר ב-Ubuntu מכיוון שהוא שומר על גרסאות עקביות עם שאר מנהלי החבילות במערכת. אין להתייחס לפעולה זו כאופציונלית: מספר פרצות CVE בעבר ב-Webmin היו באגים מסוג remote-code-execution, והדבר היחיד שהפריד בין מצב של "מוגן" לבין "פריצה" היה המהירות שבה המנהל ביצע את השדרוג.

מצבי כשל, עם המחרוזות שיוצגו בפועל

"Your connection is not not private" / NET::ERR_CERT_AUTHORITY_INVALID. מופיע בטעינה הראשונה. הסיבה: התעודה (certificate) שה-Webmin יצר בעת ההתקנה היא self-signed ואין לה מנפיק (issuer) מהימן. אין מדובר בהתקפה; הערוץ מוצפן, אך אינו מאומת. הפתרון: המשך מעבר האזהרה כעת, ולאחר מכן הנפק תעודה אמיתית מ-Let's Encrypt, או אשר אותה לצמיתות אם אתה ניגש ל-Webmin דרך SSH tunnel.

"This web server is running in SSL mode. Try the URL https://..." הקלדת את http://server:10000. ה-miniserv מדבר ב-TLS בלבד בפורט זה ומעדכן זאת בטקסט פשוט. הפתרון: שנה את http ל-https בשורת הכתובת.

Page times out — ERR_CONNECTION_TIMED_OUT / "This site can't be reached". הבקשה לא מגיעה ל-Webmin. ב-Ubuntu זה כמעט תמיד נובע מכך ש-ufw חוסם את פורט 10000. בדוק זאת באמצעות sudo ufw status; אם פורט 10000 לא מופיע ברשימה, פתח אותו באמצעות sudo ufw allow 10000/tcp, או עדיף, השאר אותו סגור והשתמש ב-SSH tunnel מ-Option B. שים לב להבדל: timeout פירושו ש-firewall מחלוק חבילות (packets) בשקט, בעוד ש-ERR_CONNECTION_REFUSED פירושו שהפורט נגיש אך ה-Webmin אינו פועל — בדוק את sudo systemctl status webmin.

"Access denied for <your IP>." הגדרת IP Access Control תחת Option A והכתובת הנוכחית שלך אינה ברשימת המורשים — כתובת IP דינמית שהשתנתה, או טעות הקלדה. אין דרך חזרה דרך הדפדפן. הפתרון מהקונסול: ערוך את השורה allow= בתוך /etc/webmin/miniserv.conf, תקן אותה או מחק אותה, והרצ את sudo systemctl restart webmin.

"Login failed. Please try again." עם פרטי התחברות שאתה יודע שהם נכונים. לחשבון אין סיסמת Unix, מה שקורה בסטנדרט בדימויי ענן (cloud images) המשתמשים במפתחות בלבד. Webmin מבצע אימות דרך PAM מול סיסמת ה-Unix, והסיסמה הזו אינה קיימת עבור המשתמש. הפתרון: הרץ את sudo passwd youruser בשרת, ולאחר מכן התחבר. אם /var/webmin/miniserv.log מציג את Non-existent login as ..., אתה מקליד שם משתמש שאינו חשבון Unix כלל.

עבור יותר משני שרתים, אוטומציה היא יעילה יותר מלוח בקרה בכל מכשיר: your first Ansible playbook הוא המקום שבו מתחילים.

FAQ

האם בטוח לחשוף את Webmin לאינטרנט הציבורי?

התייחס ל-Webmin החשוף לאינטרנט כאל root shell עם דף התחברות, מכיוון שזה בדיוק מה שהוא. הוא בטוח מספיק רק כאשר משתמשים בשכבות הגנה: תעודה (certificate) אמיתית, אימות דו-שלבי (two-factor authentication), Fail2ban, ואפשרות של רשימת כתובות IP מוגבלת (allowlist) או, עדיף, ללא חשיפה ציבורית בכלל. ההגדרה בעלת הסיכון הנמוך ביותר מקשרת את Webmin ל-127.0.0.1 וניתן לגשת אליו דרך SSH tunnel, כך שפורט 10000 לא יקבל מענה מאף אחד באינטרנט הפתוח.

איך מסירים את אזהרת התעודה של Webmin?

האזהרה (NET::ERR_CERT_AUTHORITY_INVALID) מופיעה מכיוון ש-Webmin מגיע עם תעודה חתומה עצמית (self-signed certificate). הנפק את תעודה אמיתית מתוך Webmin, תחת Webmin Configuration, SSL Encryption, Let's Encrypt, תוך שימוש בשם DNS שמצביע אל השרת ומספק מענה לאתגר port-80 לצורך אימות. אם אתה ניגש ל-Webmin אך ורק דרך SSH tunnel ל-localhost, האזהרה אינה מזיקה — SSH כבר מצפין ומאמת את החיבור — וניתן לקבל בבטחה את התעודה החתומה עצמית.

איך מגבילים את Webmin לכתובת ה-IP שלי בלבד?

עבור אל Webmin, לאחר מכן Webmin Configuration, IP Access Control, בחר ב-"Only allow from listed addresses", והזן את ה-IP הציבורי שלך מתוך curl ifconfig.me. Webmin שומר זאת בשורת allow= של /etc/webmin/miniserv.conf. היזהר מכתובת IP ביתית דינמית: אם היא תשתנה, תאבד את הגישה ותצטרך לתקן את שורת allow= דרך קונסול השרת; לכן, כתובת סטטית או שיטת ה-SSH-tunnel אמינות יותר בפועל.

מדוע ההתחברות נכשלת למרות שהסיסמה נכונה?

Webmin מבצע אימות דרך PAM מול סיסמת ה-Unix שלך. ב-cloud images, לרוב מוגדרים מפתחות בלבד ללא סיסמה בחשבון ברירת המחדל — לכן אין ל-PAM מה להשוות וההתחברות נדחית. הרץ את sudo passwd youruser בשרת כדי להגדיר סיסמה, ולאחר מכן התחבר. שורה מסוג Non-existent login as ... בתוך /var/webmin/miniserv.log מעידה על כך ששם המשתמש עצמו אינו חשבון Unix אמיתי.

מה היתרון של Webmin לעומת SSH רגיל?

Webmin מהווה שכבת נוחות ויכולת גילוי (discoverability). הוא שימושי מאוד לצפייה בקובצי לוג, ניהול משתמשים ו-cron, עריכת כללי firewall, ובדיקת מצב הדיסק והשירותים ללא צורך בזיכרון של כל פקודה — דבר שימושי למנהלי מערכת מזדמנים או לצוותים עם רמות מיומנות משתנות. SSH רגיל מהיר יותר, ניתן לכתיבת סקריפטים עבורו, וחשיפת מרחב התקיפה שלו קטנה בהרבה עבור עבודה שגרתית. מנהלי מערכת רבים משתמשים בשניהם: SSH לעבודה יומיומית, ו-Webmin המקושר ל-localhost מאחורי tunnel למשימות מזדמנות המבוצעות באמצעות לחיצות עכבר.