Instalacja i zabezpieczenie Webmin na Ubuntu 24.04

Co budujesz

Webmin to panel sterowania oparty na przeglądarce, który umożliwia zarządzanie całym serwerem Linux, użytkownikami, pakietami, zadaniami cron, firewallem, Apache, BIND, dyskami oraz setkami innych modułów. Dostęp do niego odbywa się przez HTTPS na porcie 10000. Instalacja składa się z trzech poleceń i zajmuje około minuty. Powodem, dla którego ten przewodnik poświęca większość miejsca drugiej części, jest fakt, że Webmin loguje się jako root i posiada pełne uprawnienia użytkownika root. Niezabezpieczony lub nieautoryzowany Webmin nie jest jedynie „ryzykiem w zarządzaniu”; to pełne przejęcie serwera z wystawionym panelem logowania. Dlatego zainstaluj go w dziesięć minut, a następnie poświęć resztę godziny na upewnienie się, że tylko Ty masz do niego dostęp.

Wymagania wstępne i jedno szczere ostrzeżenie

Świeża instancja Ubuntu 24.04 na KVM VPS z dostępem do konta root lub użytkownika z uprawnieniami sudo. Webmin jest lekki i oparty na Perl; 1 GB pamięci RAM to ilość wystarczająca, a w stanie spoczynku narzędzie zużywa znacznie mniej niż ćwierć gigabajta. Usługa nasłuchuje na porcie TCP 10000 za pośrednictwem własnego, wbudowanego serwera WWW (miniserv.pl), a nie Apache czy nginx, więc nie ma potrzeby wcześniejszej instalacji żadnego innego oprogramowania.

Przed rozpoczęciem należy podjąć dwie decyzje. Po pierwsze, kwestia konta, za pomocą którego następuje logowanie: Webmin uwierzytelnia użytkowników w oparciu o konta systemowe Unix poprzez PAM, więc logujesz się jako root lub użytkownik z grupy sudo, używając hasła systemowego tego konta. Obrazy systemów w chmurze zazwyczaj wykorzystują wyłącznie klucze SSH bez ustawionego hasła dla domyślnego użytkownika, a Webmin nie pozwala na logowanie na konta bez hasła. Najpierw ustaw hasło za pomocą sudo passwd youruser, w przeciwnym razie logowanie zakończy się niepowodzeniem niezależnie od wprowadzonych danych.

Po drugie, oto ostrzeżenie: nie otwieraj portu 10000 na świat bez dodatkowych zabezpieczeń. Zdecyduj już teraz, czy będziesz łączyć się z Webmin przez tunel SSH (zalecane, brak wystawionych usług), czy ograniczysz dostęp wyłącznie do własnego adresu IP. Ta decyzja determinuje każdy kolejny krok, dlatego zapoznaj się z obiema opcjami, zanim skonfigurujesz firewall.

Instalacja Webmin z oficjalnego repozytorium

Webmin udostępnia podpisane repozytorium apt. Skrypt instalacyjny dodaje repozytorium oraz jego klucz podpisu GPG, dzięki czemu przyszłe uruchomienia apt upgrade pobierają Webmin tak samo jak każdy inny pakiet. Pozwala to na otrzymywanie uwierzytelnionych aktualizacji zamiast pobranego pliku .deb, który nie aktualizuje się automatycznie.

curl -o webmin-setup-repo.sh https://raw.githubusercontent.com/webmin/webmin/master/webmin-setup-repo.sh
sudo sh webmin-setup-repo.sh

Skrypt wyświetla planowane operacje i prosi o Setup repository? (y/N), należy odpowiedzieć y. Po zakończeniu instalacji należy zainstalować pakiet. Flaga --install-recommends pobiera wspólne zależności Perl oraz moduły SSL, co zapobiega błędom braku bibliotek w poszczególnych modułach w przyszłości.

sudo apt-get install --install-recommends webmin

Webmin zmieniał już nazwę tego skryptu, a starsze poradniki odwołują się do setup-repos.sh. Jeśli surowy adres URL zwraca błąd 404, należy pobrać aktualne polecenie bezpośrednio ze strony webmin.com/download, zamiast polegać na konkretnej nazwie pliku. Poprawna instalacja kończy się linią podobną do Webmin install complete. You can now login to https://your-host:10000/ as root. Usługa jest włączona i uruchomiona, konfiguracja znajduje się w /etc/webmin, żądania są zapisywane w /var/webmin/miniserv.log, a nieudane próby logowania trafiają do syslog, w przypadku Ubuntu 24.04 – do systemd journal.

Przed otwarciem przeglądarki należy potwierdzić, że usługa działa i nasłuchuje:

sudo systemctl status webmin --no-pager
sudo ss -tlnp | grep 10000

Oczekiwany jest status active (running) oraz linia wskazująca miniserv.pl powiązane z 0.0.0.0:10000. Ten adres zmieni się na 127.0.0.1:10000 po zastosowaniu poniższego tunelowania. Jeśli ss nie wykazuje aktywności na porcie 10000, Webmin nie został uruchomiony; przed podjęciem dalszych kroków należy przeczytać journalctl -u webmin -n 50.

Pierwsze logowanie i ostrzeżenie o certyfikacie

Skieruj przeglądarkę na https://YOUR_SERVER_IP:10000. Na nowym serwerze wystąpią dwie sytuacje.

Jeśli ufw jest aktywny (obraz serwera Ubuntu domyślnie go wyłącza, ale wielu dostawców włącza go wstępnie), strona w ogóle się nie załaduje, co opisano w sekcji dotyczącej awarii poniżej. Jeśli port jest otwarty, przeglądarka wyświetli pełnoekranowy komunikat blokujący: "Your connection is not private" z kodem NET::ERR_CERT_AUTHORITY_INVALID w Chrome lub SEC_ERROR_UNKNOWN_ISSUER / "Warning: Potential Security Risk Ahead" w Firefox. Jest to zachowanie oczekiwane i nie oznacza włamania. Webmin wygenerował certyfikat z podpisem własnym podczas instalacji (/etc/webmin/miniserv.pem), a ponieważ żaden urząd certyfikacji go nie potwierdza, przeglądarka odmawia automatycznego zaufania. Połączenie jest nadal szyfrowane, po prostu nie posiada zewnętrznego potwierdzenia. Kliknij odpowiednie opcje (Advanced, a następnie Proceed), aby kontynuować; certyfikat zostanie poprawnie wymieniony w dalszej części.

Zaloguj się za pomocą root lub użytkownika z uprawnieniami sudo i jego hasła systemowego, aby przejść do pulpitu nawigacyjnego System Information. Częstym błędem jest wpisanie http:// zamiast https://. miniserv odpowiada zwykłym protokołem HTTP na tym porcie, wyświetlając tekst "This web server is running in SSL mode. Try the URL https://...". Rozwiązaniem jest zmiana http na https w pasku adresu.

Decyzja dotycząca bezpieczeństwa: jak uzyskać dostęp do Webmin?

Teraz najważniejsza część. Panel o uprawnieniach równoważnych root nie powinien być wystawiony na otwarty internet, odpowiadając na próby logowania ze strony każdego skanera na świecie. Istnieją dwie możliwe do obrony opcje, uszeregowane według preferencji. Każdy samodzielnie hostowany interfejs administracyjny sprowadza się do tego samego pytania, dlatego kwestia bezpieczeństwa Vaultwarden zależy od punktu końcowego panelu administracyjnego i pliku kopii zapasowej, a nie od samego szyfrowania.

Tunel SSH w opcji B jest rozwiązaniem lepszym, ponieważ nie wystawia żadnych usług na zewnątrz. Lista dozwolonych adresów IP w opcji A jest akceptowalna, jeśli adres jest statyczny. Zaniechanie obu tych metod jest dokładnie tym błędem, któremu ma zapobiegać ten przewodnik. Jeśli wolisz uzyskać dostęp do Webmin przez sieć prywatną zamiast korzystać z powyższych metod, umieść serwer za samodzielnie hostowanym VPN WireGuard i powiąż Webmin z adresem tunelu zamiast z adresem publicznym.

Opcja A: ograniczenie dostępu do Webmin do konkretnego adresu IP

W panelu otwórz Webmin, następnie Webmin Configuration, a potem IP Access Control. Wybierz "Only allow from listed addresses" i wprowadź swój publiczny adres IP, który można sprawdzić, uruchamiając curl ifconfig.me na komputerze lokalnym. Zapisz zmiany. Webmin zapisze to ustawienie w linii allow= w pliku /etc/webmin/miniserv.conf i zrestartuje się.

Pułapka: jeśli domowy adres IP jest dynamiczny i ulegnie zmianie lub wprowadzisz błędny adres, utracisz dostęp do panelu. Przeglądarka wyświetli komunikat "Access denied for <your IP>" zamiast formularza logowania, a powrót przez interfejs WWW nie będzie możliwy. Dostęp można przywrócić z konsoli serwera przez SSH lub VNC dostarczone przez operatora:

sudo nano /etc/webmin/miniserv.conf
# find the line that begins  allow=
# correct your IP, or delete the whole line to allow all again
sudo systemctl restart webmin

Usunięcie linii allow= przywraca pełny dostęp, dlatego należy to robić wyłącznie w celu odzyskania kontroli, a następnie niezwłocznie wprowadzić poprawną wartość.

Opcja B: powiązanie z localhost i tunelowanie przez SSH (zalecane)

Lepszym rozwiązaniem niż jakakolwiek lista dozwolonych adresów jest całkowite zablokowanie nasłuchiwania na publicznym interfejsie. Należy skonfigurować miniserv tak, aby wiązał się wyłącznie z interfejsem loopback, a następnie uzyskiwać do niego dostęp przez zaszyfrowany tunel SSH, któremu już ufasz.

Edytuj /etc/webmin/miniserv.conf i dodaj lub zmień jedną linię:

bind=127.0.0.1

Zrestartuj usługę za pomocą sudo systemctl restart webmin. Webmin jest teraz niedostępny z Internetu, skanowanie portu 10000 nie wykazuje żadnych wyników, a sprawdzenie ss wykonane wcześniej pokazuje teraz powiązanie z 127.0.0.1:10000. Z poziomu laptopa otwórz tunel:

ssh -L 10000:localhost:10000 youruser@YOUR_SERVER_IP

Pozostaw tę sesję otwartą i przejdź pod adres https://localhost:10000. Ruch odbywa się wewnątrz SSH, który jest już uwierzytelniony za pomocą Twojego klucza i zaszyfrowany, więc możesz bezpiecznie zaakceptować certyfikat z podpisem własnym – warstwa SSH zapewnia rzeczywistą ochronę. Zamknij sesję SSH, a Webmin przestanie być dostępny. Brak listy dozwolonych adresów, brak wystawionych usług, brak dodatkowych elementów do zabezpieczenia.

Jeśli ustawisz bind=127.0.0.1 i zapomnisz o tunelu, zdalny dostęp po prostu przestanie działać; jest to działanie funkcji, a nie błąd. Odzyskaj dostęp w ten sam sposób co w Opcji A: z poziomu konsoli usuń linię bind lub ustaw bind=0.0.0.0, a następnie zrestartuj usługę. Jest to ten sam nawyk tunelowania, którego użyłbyś, aby uzyskać dostęp do zdalnego środowiska programistycznego z uruchomionym Claude Code w tmux – jedna sesja SSH, wszystko prywatne, nic dodatkowego nie nasłuchuje na publicznym interfejsie.

Zastąpienie certyfikatu z podpisem własnym certyfikatem rzeczywistym

Jeśli Webmin jest udostępniany pod nazwą hosta zgodnie z Opcją A, należy wyeliminować ostrzeżenie przeglądarki, stosując rzeczywisty certyfikat Let’s Encrypt. Wymagana jest nazwa DNS, na przykład panel.example.com, z rekordem A wskazującym na serwer oraz usługa odpowiadająca na wyzwanie HTTP na porcie 80 podczas walidacji.

Webmin posiada wbudowaną obsługę tego procesu: Webmin, następnie Webmin Configuration, potem SSL Encryption i zakładka Let’s Encrypt. Należy wprowadzić nazwę hosta, wskazać "website root directory" na ścieżkę obsługiwaną na porcie 80 dla danej domeny i wysłać żądanie. Webmin pobierze certyfikat, zaktualizuje linie certfile= oraz keyfile= w pliku miniserv.conf i będzie go automatycznie odnawiał przed wygaśnięciem. Po przeładowaniu strony ikona kłódki będzie poprawna.

Jedyny istotny problem: serwer Webmin działa na porcie 10000, a nie 80, więc wyzwanie http-01 wymaga rzeczywistego serwera WWW, takiego jak Apache lub nginx, odpowiadającego dla panel.example.com na porcie 80, albo zastosowania walidacji opartej na DNS. Na serwerze z samym Webminem, gdzie port 80 jest wolny, żądanie zakończy się błędem walidacji, dopóki nie zostanie zapewniona możliwość dotarcia do pliku wyzwania przez Let’s Encrypt. Mechanika działania, rekordy DNS, wyzwanie na porcie 80 oraz odnawianie są identyczne jak w przypadku wystawiania certyfikatu dla dowolnej witryny WWW. Szczegółowe informacje na ten temat zawiera przewodnik dotyczący certyfikatów TLS Let’s Encrypt z użyciem Certbot i nginx, który szczegółowo opisuje proces walidacji i konfigurację DNS. W przypadku korzystania z tunelu SSH tę sekcję można całkowicie pominąć: certyfikat z podpisem własnym jest wystarczający wewnątrz SSH, a rzeczywisty certyfikat wystawiony dla panel.example.com i tak wywołałby ostrzeżenie o niezgodności nazwy przy próbie połączenia z https://localhost:10000.

Włączanie uwierzytelniania dwuskładnikowego

Samo hasło stanowi słabą ochronę panelu root, dlatego należy dodać drugi składnik. Otwórz Webmin, następnie Webmin Configuration, a potem Two-Factor Authentication. Wybierz dostawcę Google Authenticator. Jest to standardowy protokół TOTP, więc współpracuje on z aplikacjami takimi jak Authy, 1Password lub dowolnym innym generatorem kodów. Zapisz zmiany. Webmin zainstaluje wymagany moduł Perl (Authen::OATH oraz generator kodów QR) i włączy tę funkcję. Sam ten krok nie zabezpiecza jeszcze żadnego konta.

Każde konto musi następnie zarejestrować własne urządzenie. Po włączeniu 2FA otwórz Webmin, następnie Webmin Users, wybierz konto i kliknij Enable Two-Factor For User. Webmin wyświetli kod QR. Zeskanuj go za pomocą aplikacji i wprowadź jeden wygenerowany kod w celu potwierdzenia. Od tego momentu logowanie będzie wymagało podania sześciocyfrowego tokena po wpisaniu hasła. Zarejestruj urządzenie przed wylogowaniem się. Jeśli 2FA jest wymagane, a konto nie przeszło procesu skanowania kodu, można usunąć to wymaganie z poziomu konsoli, jednak znacznie wygodniej jest przeprowadzić rejestrację wcześniej.

Dodanie Fail2ban w celu blokowania ataków brute-force

Nawet ograniczony punkt logowania powinien karać za wielokrotne nieudane próby. Webmin raportuje nieudane logowania do syslog w formacie webmin[12345]: Invalid login as root from 10.0.0.9 lub Non-existent login as ... dla nazwy użytkownika, która nie jest kontem Unix. W systemie Ubuntu 24.04 linie te trafiają do dziennika systemd, ponieważ standardowy obraz nie posiada /var/log/auth.log. Fail2ban zawiera wbudowany filtr webmin-auth, który dopasowuje dokładnie te dwie linie, a poniższa konfiguracja jail samodzielnie ustawia backend = systemd, więc nie wymaga własnych wyrażeń regularnych ani ścieżki do logów.

Utwórz /etc/fail2ban/jail.d/webmin.local:

[webmin-auth]
enabled  = true
port     = 10000
filter   = webmin-auth
backend  = systemd
maxretry = 4
bantime  = 1h

Przeładuj za pomocą sudo systemctl restart fail2ban, a następnie potwierdź, że jail jest aktywny:

sudo fail2ban-client status webmin-auth

Powinieneś zobaczyć jail na liście z licznikiem blokad ustawionym początkowo na zero (w przypadku backendu journal nie ma linii File list:). Aby sprawdzić poprawność działania całości, celowo wprowadź błędne dane logowania kilka razy z innej sieci, a następnie ponownie uruchom komendę statusu i obserwuj, jak rośnie Currently banned. Jeśli licznik się nie zmienia, upewnij się, że nie testujesz z adresu znajdującego się w ignoreip programu Fail2ban oraz uruchom journalctl SYSLOG_IDENTIFIER=webmin na serwerze, aby potwierdzić, że linie Invalid login są faktycznie zapisywane. Jeśli Fail2ban nie jest jeszcze zainstalowany na tym serwerze, przewodnik instalacji Fail2ban na Ubuntu 24.04 dla SSH opisuje proces instalacji oraz konfigurację jail dla SSH, który należy uruchomić równolegle z tym rozwiązaniem.

Ograniczanie uprawnień użytkowników Webmin

Nie każdy użytkownik panelu wymaga uprawnień root dla wszystkich zasobów. W sekcji Webmin, then Webmin Users można utworzyć dodatkowe konta i przyznać każdemu z nich dostęp wyłącznie do niezbędnych modułów. Przykładowo, operatorowi kopii zapasowych można udostępnić tylko moduły cron oraz filesystem. Edycja użytkownika wyświetla listę wszystkich modułów; odznaczenie wybranego modułu usuwa go z menu użytkownika i blokuje dostęp do powiązanych z nim adresów URL. Jest to element strategii obrony w głąb (defence in depth): nawet w przypadku przejęcia sesji użytkownika o niskich uprawnieniach, nie będzie on w stanie zmodyfikować /etc/shadow, jeśli moduł Users nie znajduje się na jego liście uprawnień.

Aktualizacja Webmin

Ponieważ instalacja została przeprowadzona z repozytorium apt, sudo apt update && sudo apt upgrade pobiera nowe wydania Webmin wraz z resztą systemu. Aktualizacje należy przeprowadzać niezwłocznie, gdyż panel sterowania jest częstym celem ataków. Webmin może również aktualizować się samodzielnie poprzez Webmin, następnie Webmin Configuration, a potem Upgrade Webmin, jednak metoda z użyciem apt jest na systemie Ubuntu bardziej przejrzysta, ponieważ zapewnia spójność wersji z pozostałym oprogramowaniem zarządzanym przez system pakietów. Nie należy traktować tego jako opcji: kilka wcześniejszych luk CVE w Webmin dotyczyło błędów zdalnego wykonania kodu, a jedyną różnicą między systemem zabezpieczonym a przejętym była szybkość przeprowadzenia aktualizacji przez administratora.

Tryby awarii i odpowiadające im komunikaty

"Your connection is not private" / NET::ERR_CERT_AUTHORITY_INVALID. Wyświetlane przy pierwszym ładowaniu. Przyczyna: certyfikat z podpisem własnym, wygenerowany przez Webmin podczas instalacji, nie posiada zaufanego wystawcy. Nie jest to atak; kanał jest szyfrowany, jednak niezweryfikowany. Rozwiązanie: na razie zignoruj ostrzeżenie, a następnie wygeneruj właściwy certyfikat Let's Encrypt lub zaakceptuj go na stałe, jeśli łączysz się z Webmin przez tunel SSH.

"This web server is running in SSL mode. Try the URL https://..." Wpisano http://server:10000. miniserv obsługuje na tym porcie wyłącznie TLS i informuje o tym w tekście jawnym. Rozwiązanie: zmień http na https w pasku adresu.

Przekroczenie czasu oczekiwania, ERR_CONNECTION_TIMED_OUT / "This site can't be reached". Żądanie nie dociera do Webmin. W systemie Ubuntu prawie zawsze oznacza to, że ufw blokuje port 10000. Potwierdź to za pomocą sudo ufw status; jeśli port 10000 nie znajduje się na liście, otwórz go poleceniem sudo ufw allow 10000/tcp lub – co jest lepszym rozwiązaniem – pozostaw go zamkniętym i użyj tunelu SSH zgodnie z Opcją B. Zwróć uwagę na różnicę: timeout oznacza, że firewall po cichu odrzuca pakiety, podczas gdy ERR_CONNECTION_REFUSED oznacza, że port jest osiągalny, ale Webmin nie działa – sprawdź sudo systemctl status webmin.

"Access denied for <your IP>." Skonfigurowano kontrolę dostępu IP w Opcji A, a bieżący adres nie znajduje się na liście dozwolonych, adres IP uległ zmianie (dynamiczny IP) lub wystąpiła literówka. Brak możliwości powrotu przez przeglądarkę. Rozwiązanie z poziomu konsoli: edytuj linię allow= w pliku /etc/webmin/miniserv.conf, popraw ją lub usuń, a następnie wykonaj sudo systemctl restart webmin.

"Login failed. Please try again." przy poprawnych danych logowania. Konto nie posiada hasła Unix, co jest standardem w obrazach chmurowych korzystających wyłącznie z kluczy. Webmin uwierzytelnia użytkowników przez PAM w oparciu o hasło Unix, a dla tego użytkownika ono nie istnieje. Rozwiązanie: wykonaj sudo passwd youruser na serwerze, a następnie zaloguj się. Jeśli /var/webmin/miniserv.log zwraca Non-existent login as ..., oznacza to, że wpisana nazwa użytkownika nie jest kontem Unix.

W przypadku zarządzania większą liczbą serwerów automatyzacja sprawdza się lepiej niż panel sterowania na każdej maszynie: pierwszy playbook Ansible to punkt wyjścia dla tego podejścia.

FAQ

Czy wystawianie Webmin na publiczny dostęp do Internetu jest bezpieczne?

Traktuj Webmin wystawiony na Internet jak powłokę root z ekranem logowania, ponieważ dokładnie tym on jest. Jest on wystarczająco bezpieczny tylko przy zastosowaniu wielu warstw zabezpieczeń: poprawnego certyfikatu, uwierzytelniania dwuskładnikowego, Fail2ban oraz ścisłej listy dozwolonych adresów IP lub, co jest lepszym rozwiązaniem, całkowitego braku publicznego dostępu. Najbezpieczniejsza konfiguracja wiąże Webmin z 127.0.0.1 i pozwala na dostęp do niego wyłącznie przez tunel SSH, dzięki czemu port 10000 nie odpowiada na zapytania z otwartego Internetu.

Jak usunąć ostrzeżenie o certyfikacie Webmin?

Ostrzeżenie (NET::ERR_CERT_AUTHORITY_INVALID) pojawia się, ponieważ Webmin jest dostarczany z certyfikatem z podpisem własnym. Wygeneruj poprawny certyfikat w sekcji Webmin, Webmin Configuration, SSL Encryption, Let's Encrypt, używając nazwy DNS wskazującej na serwer, który obsługuje wyzwanie na porcie 80 w celu walidacji. Jeśli łączysz się z Webmin wyłącznie przez tunel SSH do localhost, ostrzeżenie jest niegroźne; SSH już szyfruje i uwierzytelnia połączenie, więc można bezpiecznie zaakceptować certyfikat z podpisem własnym.

Jak ograniczyć dostęp do Webmin tylko do mojego adresu IP?

Przejdź do Webmin, Webmin Configuration, IP Access Control, wybierz "Only allow from listed addresses" i wprowadź swój publiczny adres IP z curl ifconfig.me. Webmin przechowuje to ustawienie w linii allow= pliku /etc/webmin/miniserv.conf. Uważaj na dynamiczny adres IP w domu: jeśli ulegnie on zmianie, zostaniesz zablokowany i będziesz musiał naprawić linię allow= z poziomu konsoli serwera, dlatego statyczny adres lub metoda tunelu SSH są w praktyce bardziej niezawodne.

Dlaczego logowanie kończy się niepowodzeniem, mimo poprawnego hasła?

Webmin uwierzytelnia użytkowników przez PAM w oparciu o hasło systemowe Unix. Obrazy systemowe w chmurze zazwyczaj wymagają logowania tylko przez klucz, bez ustawionego hasła dla domyślnego konta, więc PAM nie ma czego zweryfikować i odrzuca logowanie. Uruchom sudo passwd youruser na serwerze, aby ustawić hasło, a następnie zaloguj się ponownie. Linia Non-existent login as ... w pliku /var/webmin/miniserv.log oznacza natomiast, że nazwa użytkownika nie jest rzeczywistym kontem w systemie Unix.

Do czego przydaje się Webmin w porównaniu do zwykłego SSH?

Webmin to warstwa ułatwiająca odkrywanie funkcji systemu i zwiększająca wygodę pracy. Jest przydatny do przeglądania plików dziennika, zarządzania użytkownikami i zadaniami cron, edycji reguł zapory sieciowej oraz sprawdzania stanu dysków i usług bez konieczności pamiętania każdej komendy, co jest pomocne dla okazjonalnych administratorów lub zespołów o zróżnicowanych umiejętnościach. Zwykłe SSH jest szybsze, pozwala na automatyzację skryptami i wystawia znacznie mniejszą powierzchnię ataku podczas rutynowych prac. Wielu administratorów korzysta z obu rozwiązań: SSH do codziennej pracy oraz Webmin powiązanego z localhost za tunelem do okazjonalnych zadań wymagających interfejsu graficznego. Jeśli Twoje pytanie dotyczy wyboru panelu, a nie porównania panelu z powłoką, warto najpierw rozważyć porównanie Cockpit i Webmin, ponieważ te narzędzia różnią się zakresem zmian, jakie mogą wprowadzać w systemie, oraz sposobem uwierzytelniania użytkownika.