cara install dan amankan Webmin di Ubuntu 24.04

Apa yang Anda bangun

Webmin adalah panel kontrol berbasis web yang menyediakan antarmuka browser untuk seluruh server Linux — pengguna, paket, cron jobs, firewall, Apache, BIND, disk, dan ratusan modul lainnya — yang dapat diakses melalui HTTPS pada port 10000. Proses instalasi hanya memerlukan tiga perintah dan memakan waktu sekitar satu menit. Panduan ini fokus pada bagian kedua karena Webmin masuk sebagai root dan memiliki hak akses yang sama dengan root. Webmin yang terbuka tanpa autentikasi bukan sekadar "risiko yang harus dikelola"; itu adalah kompromi server penuh dengan halaman login di depannya. Oleh karena itu, selesaikan instalasi dalam sepuluh menit, lalu gunakan sisa waktu satu jam untuk memastikan hanya Anda yang dapat mengaksesnya.

Prasyarat dan satu peringatan penting

VPS Ubuntu 24.04 KVM baru dengan akses root atau pengguna sudo. Webmin menggunakan Perl dan sangat ringan — RAM 1 GB sudah cukup dan penggunaan memori saat idle di bawah seperempat gigabyte. Webmin mendengarkan pada TCP 10000 melalui web server bawaannya sendiri (miniserv.pl), bukan Apache atau nginx, sehingga tidak ada perangkat lunak lain yang perlu diinstal terlebih dahulu.

Ada dua hal yang harus diputuskan sebelum memulai. Pertama, akun untuk login: Webmin melakukan autentikasi terhadap akun Unix melalui PAM, jadi Anda akan login sebagai root atau pengguna dalam grup sudo menggunakan password Unix akun tersebut. Citra cloud biasanya hanya menggunakan kunci SSH tanpa password pada pengguna default, dan Webmin tidak dapat login ke akun tanpa password. Atur password terlebih dahulu dengan sudo passwd youruser, jika tidak login akan gagal apa pun yang Anda ketik.

Kedua, ini adalah peringatannya: jangan langsung membuka port 10000 ke internet. Putuskan sekarang apakah Anda akan mengakses Webmin melalui SSH tunnel (disarankan, tidak ada port yang terekspos) atau membatasinya hanya untuk IP Anda sendiri. Keputusan ini menentukan setiap langkah di bawah ini, jadi baca kedua opsi tersebut sebelum Anda menyentuh firewall.

Install Webmin dari repositori resmi

Webmin menyediakan repositori apt yang telah ditandatangani. Skrip pengaturan akan menambahkan repositori tersebut beserta kunci tanda tangan GPG. Hal ini memastikan perintah apt upgrade di masa mendatang akan mengambil Webmin seperti paket lainnya. Anda akan mendapatkan pembaruan terautentikasi, bukan mengunduh .deb yang tidak dapat memperbarui dirinya sendiri.

curl -o webmin-setup-repo.sh https://raw.githubusercontent.com/webmin/webmin/master/webmin-setup-repo.sh
sudo sh webmin-setup-repo.sh

Skrip akan menampilkan tindakan yang akan dilakukan dan menanyakan Setup repository? (y/N) — jawab y. Setelah selesai, instal paket tersebut. Flag --install-recommends akan mengambil dependensi modul Perl dan SSL yang umum agar modul individual tidak mengalami error library hilang di kemudian hari.

sudo apt-get install --install-recommends webmin

Webmin pernah mengubah nama skrip ini sebelumnya — panduan lama merujuk pada setup-repos.sh — jadi jika URL mentah menghasilkan error 404, ambil perintah satu baris terbaru langsung dari webmin.com/download daripada menggunakan nama lama. Instalasi yang benar diakhiri dengan baris seperti Webmin install complete. You can now login to https://your-host:10000/ as root. Layanan telah aktif dan berjalan, konfigurasi berada di /etc/webmin, log permintaan dicatat ke /var/webmin/miniserv.log, dan kegagalan login dikirim ke syslog — pada Ubuntu 24.04, dikirim ke systemd journal.

Pastikan layanan sudah aktif dan mendengarkan sebelum Anda membuka browser:

sudo systemctl status webmin --no-pager
sudo ss -tlnp | grep 10000

Anda memerlukan status active (running) dan baris yang menunjukkan miniserv.pl terikat pada 0.0.0.0:10000 — alamat tersebut berubah menjadi 127.0.0.1:10000 setelah Anda menggunakan rute tunnel di bawah ini. Jika ss tidak menampilkan apa pun pada port 10000, Webmin tidak berjalan; baca journalctl -u webmin -n 50 sebelum melanjutkan.

Login pertama, dan peringatan sertifikat

Arahkan browser Anda ke https://YOUR_SERVER_IP:10000. Ada dua hal yang terjadi pada instalasi baru.

Jika ufw aktif — citra server asli Ubuntu menyediakannya dalam kondisi nonaktif, tetapi banyak penyedia layanan mengaktifkannya secara default — halaman tidak akan dimuat sama sekali, hal ini dibahas pada bagian kegagalan di bawah. Jika port terbuka, browser akan menampilkan blokir halaman penuh: "Your connection is not private" dengan kode NET::ERR_CERT_AUTHORITY_INVALID di Chrome, atau SEC_ERROR_UNKNOWN_ISSUER / "Warning: Potential Security Risk Ahead" di Firefox. Hal ini normal dan bukan merupakan upaya peretasan. Webmin membuat sertifikat self-signed saat proses instalasi (/etc/webmin/miniserv.pem), dan karena tidak ada otoritas sertifikat yang menjaminnya, browser menolak untuk mempercayainya secara otomatis. Koneksi tetap terenkripsi; hanya saja tidak terverifikasi. Klik terus (Advanced, lalu Proceed) untuk saat ini — kita akan mengganti sertifikat ini dengan benar pada bagian selanjutnya.

Login dengan root atau pengguna sudo Anda beserta kata sandi Unix-nya, dan Anda akan masuk ke dasbor System Information. Satu kesalahan umum di sini adalah mengetik http:// alih-alih https://. miniserv merespons HTTP biasa pada port tersebut dengan teks "This web server is running in SSL mode. Try the URL https://..." — solusinya adalah mengubah http menjadi https pada bilah alamat.

Keputusan keamanan: bagaimana Anda akan mengakses Webmin?

Bagian ini sangat penting. Panel dengan hak akses root tidak boleh terbuka di internet publik untuk menanggapi upaya login dari pemindai mana pun di dunia. Anda memiliki dua opsi yang aman, diurutkan berdasarkan preferensi.

SSH tunnel pada Opsi B adalah pilihan terbaik karena tidak mengekspos apa pun. IP allowlist pada Opsi A dapat diterima jika alamat IP Anda bersifat statis. Tidak menggunakan keduanya adalah kesalahan yang ingin dicegah oleh panduan ini. Jika Anda lebih memilih mengakses Webmin melalui jaringan privat, letakkan server di belakang self-hosted WireGuard VPN dan hubungkan Webmin ke alamat tunnel, bukan ke alamat publik.

Opsi A: membatasi Webmin ke IP Anda

Di panel, buka Webmin, lalu Webmin Configuration, lalu IP Access Control. Pilih "Only allow from listed addresses" dan masukkan IP publik Anda, yang dapat ditemukan dengan menjalankan curl ifconfig.me pada laptop Anda. Simpan. Webmin menulis ini ke baris allow= di /etc/webmin/miniserv.conf dan memulai ulang dirinya sendiri.

Risiko: jika IP rumah Anda bersifat dinamis dan berubah, atau Anda salah memasukkan alamat, Anda akan terkunci. Browser kemudian menampilkan "Access denied for <your IP>" tanpa formulir login, dan tidak ada jalur web untuk masuk kembali. Anda dapat memperbaikinya dari konsol server melalui SSH atau VNC penyedia layanan Anda:

sudo nano /etc/webmin/miniserv.conf
# find the line that begins  allow=
# correct your IP, or delete the whole line to allow all again
sudo systemctl restart webmin

Menghapus baris allow= akan mengembalikan akses terbuka sepenuhnya, jadi gunakan cara ini hanya untuk pemulihan, lalu segera atur nilai yang benar.

Opsi B: bind ke localhost dan tunnel melalui SSH (direkomendasikan)

Cara terbaik daripada menggunakan allowlist adalah dengan tidak mendengarkan pada interface publik sama sekali. Atur miniserv agar hanya melakukan bind ke loopback, lalu akses melalui tunnel SSH terenkripsi yang sudah Anda percayai.

Edit /etc/webmin/miniserv.conf dan tambahkan, atau ubah, satu baris:

bind=127.0.0.1

Restart dengan sudo systemctl restart webmin. Webmin kini tidak dapat dijangkau dari internet — port scan pada 10000 tidak menemukan apa pun, dan pengecekan ss sebelumnya kini menunjukkan status bound ke 127.0.0.1:10000. Dari laptop Anda, buka tunnel:

ssh -L 10000:localhost:10000 youruser@YOUR_SERVER_IP

Biarkan sesi tersebut tetap terbuka dan buka https://localhost:10000 di browser. Trafik berjalan di dalam SSH yang sudah terautentikasi oleh key Anda dan terenkripsi, sehingga Anda dapat menerima sertifikat self-signed dengan aman — lapisan SSH memberikan perlindungan utama. Tutup sesi SSH dan Webmin akan hilang. Tidak ada yang perlu dimasukkan ke allowlist, tidak ada yang terekspos, dan tidak ada layanan tambahan yang perlu diperkuat.

Jika Anda mengatur bind=127.0.0.1 dan lupa membuka tunnel, akses jarak jauh akan terhenti — ini adalah fitur yang bekerja, bukan kesalahan. Pulihkan dengan cara yang sama seperti Opsi A: dari konsol, hapus baris bind atau atur bind=0.0.0.0, lalu restart. Ini adalah kebiasaan tunneling yang sama seperti saat Anda mengakses kotak pengembangan jarak jauh yang menjalankan Claude Code di tmux — satu sesi SSH, semuanya privat, tidak ada layanan tambahan yang mendengarkan pada interface publik.

Ganti sertifikat self-signed dengan sertifikat asli

Jika Anda mengekspos Webmin pada hostname di bawah Opsi A, hilangkan peringatan browser dengan sertifikat Let's Encrypt yang asli. Anda memerlukan nama DNS — misalnya panel.example.com — dengan record A yang mengarah ke server, dan layanan yang menjawab tantangan HTTP port-80 selama validasi.

Webmin memiliki fitur bawaan: Webmin, lalu Webmin Configuration, lalu SSL Encryption, lalu tab Let's Encrypt. Masukkan hostname, arahkan "website root directory" ke jalur yang dilayani pada port 80 untuk domain tersebut, lalu ajukan permintaan. Webmin akan mengambil sertifikat, memperbarui baris certfile= dan keyfile= di dalam miniserv.conf untuk Anda, dan memperbaruinya secara otomatis sebelum masa berlaku habis. Muat ulang halaman dan ikon gembok akan muncul normal.

Satu kendala utama: server internal Webmin berjalan pada port 10000, bukan 80, sehingga tantangan http-01 memerlukan web server asli — Apache atau nginx — yang menjawab untuk panel.example.com pada port 80, atau menggunakan validasi berbasis DNS. Pada sistem yang hanya berisi Webmin tanpa layanan apa pun di port 80, permintaan akan gagal dengan error validasi hingga Anda memberikan cara bagi Let's Encrypt untuk menjangkau file tantangan tersebut. Mekanismenya — record DNS, tantangan port-80, dan pembaruan — sama dengan penerbitan sertifikat untuk situs web apa pun. Jika Anda ingin mempelajari hal tersebut, panduan sertifikat TLS Let's Encrypt dengan Certbot dan nginx menjelaskan alur validasi dan pengaturan DNS secara detail. Jika Anda menggunakan metode SSH-tunnel, Anda dapat melewati bagian ini sepenuhnya: sertifikat self-signed sudah cukup aman di balik SSH, dan sertifikat asli yang diterbitkan untuk panel.example.com hanya akan memicu peringatan ketidakcocokan nama saat Anda mengunjungi https://localhost:10000.

Aktifkan autentikasi dua faktor

Kata sandi saja tidak cukup untuk melindungi panel root, jadi tambahkan faktor kedua. Buka Webmin, lalu Webmin Configuration, lalu Two-Factor Authentication. Pilih penyedia Google Authenticator — ini adalah standar TOTP, sehingga kompatibel dengan Authy, 1Password, atau aplikasi autentikator lainnya — lalu simpan. Webmin akan menginstal modul Perl yang diperlukan (Authen::OATH ditambah generator QR) dan mengaktifkan fitur tersebut; langkah ini saja belum melindungi akun apa pun.

Setiap akun kemudian harus mendaftarkan perangkatnya sendiri. Setelah 2FA aktif, buka Webmin, lalu Webmin Users, pilih akun, pilih Enable Two-Factor For User, dan Webmin akan menampilkan kode QR; pindai kode tersebut dengan aplikasi dan masukkan satu kode yang dihasilkan untuk konfirmasi. Setelah itu, proses login akan meminta token enam digit setelah kata sandi. Lakukan pendaftaran sebelum Anda keluar (log out) — jika 2FA diwajibkan tetapi akun Anda belum pernah memindai kode, Anda masih bisa menghapus persyaratan tersebut melalui konsol, namun akan jauh lebih mudah jika Anda mendaftarkan perangkat terlebih dahulu.

Tambahkan Fail2ban untuk memblokir brute-force login

Endpoint login yang terbatas pun harus memberikan sanksi terhadap kegagalan berulang. Webmin melaporkan kegagalan login ke syslog dalam format webmin[12345]: Invalid login as root from 10.0.0.9, atau Non-existent login as ... untuk username yang bukan akun Unix — pada Ubuntu 24.04 baris tersebut masuk ke systemd journal, karena image standar tidak memiliki /var/log/auth.log. Fail2ban menyertakan filter webmin-auth standar yang mencocokkan kedua baris tersebut secara tepat, dan jail di bawah ini mengatur backend = systemd secara otomatis, sehingga tidak memerlukan regex atau jalur log kustom.

Buat /etc/fail2ban/jail.d/webmin.local:

[webmin-auth]
enabled  = true
port     = 10000
filter   = webmin-auth
backend  = systemd
maxretry = 4
bantime  = 1h

Muat ulang dengan sudo systemctl restart fail2ban, lalu konfirmasi bahwa jail sudah aktif:

sudo fail2ban-client status webmin-auth

Anda akan melihat jail terdaftar dengan penghitung ban bernilai nol pada awalnya (pada backend journal tidak ada baris File list:). Untuk membuktikan koneksi secara menyeluruh, sengajalah gagal login beberapa kali dari jaringan lain, lalu jalankan kembali perintah status dan perhatikan Currently banned meningkat. Jika tidak meningkat, pastikan Anda tidak melakukan pengujian dari alamat yang ada dalam ignoreip milik Fail2ban, dan jalankan journalctl SYSLOG_IDENTIFIER=webmin pada server untuk mengonfirmasi bahwa baris Invalid login benar-benar ditulis. Jika Fail2ban belum terinstal di mesin ini, panduan Fail2ban pada Ubuntu 24.04 untuk SSH membahas instalasi dan jail SSH yang harus Anda jalankan bersamaan dengan ini.

Batasi akses setiap pengguna Webmin

Tidak semua pengguna memerlukan hak akses root. Di bawah Webmin, lalu Webmin Users, buatlah login Webmin tambahan dan berikan modul yang hanya diperlukan oleh masing-masing pengguna — misalnya, operator cadangan yang hanya dapat melihat modul cron dan filesystem. Mengedit pengguna akan menampilkan daftar periksa untuk setiap modul; menghapus centang pada satu modul akan menghapusnya dari menu pengguna tersebut dan memblokir URL terkait. Ini adalah pertahanan berlapis: sesi Webmin dengan hak akses rendah yang dicuri tetap tidak dapat menulis ulang /etc/shadow jika modul Users tidak ada dalam daftar pengguna tersebut.

Menjaga Webmin tetap mutakhir

Karena Anda menginstal dari repositori apt, sudo apt update && sudo apt upgrade akan menarik rilis Webmin baru bersama dengan komponen sistem lainnya. Lakukan pembaruan segera — panel kontrol adalah target favorit. Webmin juga dapat memperbarui dirinya sendiri melalui Webmin, lalu Webmin Configuration, lalu Upgrade Webmin, tetapi metode apt lebih rapi di Ubuntu karena menjaga versi tetap konsisten dengan manajemen paket lainnya. Jangan menganggap hal ini opsional: beberapa CVE Webmin di masa lalu adalah bug remote-code-execution, dan satu-satunya perbedaan antara "terpelihara" dan "terkompromi" adalah seberapa cepat admin menjalankan pembaruan.

Mode kegagalan, dengan string yang akan Anda lihat

"Your connection is not private" / NET::ERR_CERT_AUTHORITY_INVALID. Muncul pada saat pemuatan pertama. Penyebab: sertifikat self-signed yang dibuat Webmin saat instalasi tidak memiliki penerbit terpercaya. Ini bukan serangan; saluran terenkripsi, hanya saja tidak terverifikasi. Solusi: lanjutkan melalui peringatan tersebut untuk sementara, lalu terbitkan sertifikat Let's Encrypt yang asli, atau terima secara permanen jika Anda mengakses Webmin melalui SSH tunnel.

"This web server is running in SSL mode. Try the URL https://..." Anda mengetik http://server:10000. miniserv hanya menggunakan TLS pada port tersebut dan menyampaikannya secara teks biasa. Solusi: ubah http menjadi https pada bilah alamat.

Page times out — ERR_CONNECTION_TIMED_OUT / "This site can't be reached". Permintaan tidak pernah sampai ke Webmin. Pada Ubuntu, hal ini hampir selalu disebabkan oleh ufw yang memblokir port 10000. Konfirmasi dengan sudo ufw status; jika 10000 tidak terdaftar, buka port tersebut dengan sudo ufw allow 10000/tcp atau, lebih baik lagi, biarkan tetap tertutup dan gunakan SSH tunnel dari Opsi B. Perhatikan perbedaannya: timeout berarti firewall memblokir paket secara diam-diam, sedangkan ERR_CONNECTION_REFUSED berarti port dapat dijangkau tetapi Webmin tidak berjalan — periksa sudo systemctl status webmin.

"Access denied for <your IP>." Anda mengatur IP Access Control pada Opsi A dan alamat Anda saat ini tidak ada dalam daftar izin — IP dinamis yang berubah, atau kesalahan ketik. Tidak ada cara masuk kembali melalui browser. Solusi dari konsol: edit baris allow= di /etc/webmin/miniserv.conf, perbaiki atau hapus, lalu jalankan sudo systemctl restart webmin.

"Login failed. Please try again." dengan kredensial yang Anda tahu benar. Akun tidak memiliki password Unix, yang merupakan standar pada citra cloud berbasis kunci saja. Webmin melakukan autentikasi melalui PAM terhadap password Unix, dan password tersebut tidak ada untuk pengguna tersebut. Solusi: jalankan sudo passwd youruser pada server, lalu masuk. Jika /var/webmin/miniserv.log menunjukkan Non-existent login as ..., Anda mengetikkan nama pengguna yang bukan merupakan akun Unix sama sekali.

Untuk lebih dari beberapa server, otomatisasi lebih skalabel daripada menggunakan control panel di setiap mesin: Ansible playbook pertama Anda adalah tempat untuk memulainya.

FAQ

Apakah aman mengekspos Webmin ke internet publik?

Anggap Webmin yang terhubung ke internet sebagai shell root dengan halaman login, karena itulah fungsinya. Keamanan hanya memadai jika menggunakan lapisan berikut: sertifikat asli, autentikasi dua faktor, Fail2ban, dan daftar izin IP yang ketat atau, lebih baik lagi, tidak diekspos ke publik sama sekali. Konfigurasi dengan risiko terendah adalah mengikat Webmin ke 127.0.0.1 dan mengaksesnya melalui terowongan SSH, sehingga port 10000 tidak merespons siapa pun di internet publik.

Bagaimana cara menghilangkan peringatan sertifikat Webmin?

Peringatan (NET::ERR_CERT_AUTHORITY_INVALID) muncul karena Webmin menyertakan sertifikat self-signed. Terbitkan sertifikat asli melalui Webmin, Webmin Configuration, SSL Encryption, Let's Encrypt, menggunakan nama DNS yang mengarah ke server dengan layanan yang menangani tantangan port-80 untuk validasi. Jika Anda hanya mengakses Webmin melalui terowongan SSH ke localhost, peringatan tersebut tidak berbahaya — SSH sudah mengenkripsi dan mengautentikasi koneksi — dan Anda dapat menerima sertifikat self-signed tersebut dengan aman.

Bagaimana cara membatasi Webmin hanya untuk alamat IP saya?

Buka Webmin, Webmin Configuration, IP Access Control, pilih "Only allow from listed addresses", dan masukkan IP publik Anda dari curl ifconfig.me. Webmin menyimpan data ini pada baris allow= di /etc/webmin/miniserv.conf. Waspadai IP rumah yang dinamis: jika IP berubah, Anda akan terkunci dan harus memperbaiki baris allow= dari konsol server, sehingga alamat statis atau metode terowongan SSH lebih andal dalam praktiknya.

Mengapa login saya gagal meskipun kata sandi sudah benar?

Webmin melakukan autentikasi melalui PAM terhadap kata sandi Unix Anda. Citra cloud biasanya hanya menggunakan kunci tanpa kata sandi pada akun default — sehingga tidak ada data yang cocok untuk PAM dan login ditolak. Jalankan sudo passwd youruser pada server untuk mengatur kata sandi, lalu login. Baris Non-existent login as ... di /var/webmin/miniserv.log berarti nama pengguna tersebut bukan merupakan akun Unix asli.

Apa kegunaan Webmin dibandingkan dengan SSH biasa?

Webmin adalah lapisan kemudahan dan penemuan fitur. Webmin sangat berguna untuk menelusuri file log, mengelola pengguna dan cron, mengedit aturan firewall, serta melihat status disk dan layanan tanpa harus menghafal setiap perintah — sangat membantu bagi admin yang jarang bertugas atau tim dengan keahlian beragam. SSH biasa lebih cepat, dapat dibuat skripnya, dan memiliki permukaan serangan yang jauh lebih kecil untuk pekerjaan rutin. Banyak admin menjalankan keduanya: SSH untuk penggunaan harian, dan Webmin yang terikat ke localhost di balik terowongan untuk pekerjaan klik-dan-pilih sesekali.