Instalacja i zabezpieczenie Webmin Ubuntu 24.04

Cel instalacji

Webmin to panel sterowania dostępny przez przeglądarkę, który umożliwia zarządzanie całym serwerem Linux. Interfejs obejmuje użytkowników, pakiety, zadania cron, firewall, Apache, BIND, dyski oraz setki innych modułów. Dostęp odbywa się przez protokół HTTPS na porcie 10000. Proces instalacji składa się z trzech komend i trwa około minuty. Większość tego poradnika poświęcona jest drugiej części, ponieważ Webmin loguje się jako root i posiada uprawnienia użytkownika root. Niezabezpieczony lub nieautentyfikowany Webmin nie stanowi jedynie "ryzyka do zarządzania"; oznacza to pełną kompromitację serwera poprzez stronę logowania. Należy zatem przeprowadzić instalację w dziesięć minut, a następnie poświęcić pozostałą część godziny na zapewnienie wyłącznego dostępu dla siebie.

Wymagania wstępne i ważne ostrzeżenie

Nowy serwer VPS Ubuntu 24.04 KVM z uprawnieniami root lub użytkownikiem sudo. Webmin jest napisany w języku Perl i jest mało wymagający — 1 GB pamięci RAM jest wystarczające, a w stanie spoczynku zużycie wynosi poniżej 250 MB. Serwis nasłuchuje na porcie TCP 10000 poprzez własny serwer WWW (miniserv.pl), a nie Apache lub nginx, więc nie jest wymagana instalacja dodatkowych pakietów.

Przed rozpoczęciem należy podjąć dwie decyzje. Po pierwsze, wybór konta do logowania: Webmin uwierzytelnia użytkowników Unix poprzez PAM, zatem logowanie odbywa się jako root lub użytkownik w grupie sudo przy użyciu hasła Unix danego konta. Obrazy chmurowe zazwyczaj wykorzystują wyłącznie klucze SSH, a domyślni użytkownicy nie mają ustawionego hasła, co uniemożliwia logowanie do Webmin. Należy najpierw ustawić hasło za pomocą sudo passwd youruser, w przeciwnym razie logowanie nie powiedzie się niezależnie od wprowadzanych danych.

Po drugie, ostrzeżenie: nie należy otwierać portu 10000 dla całego internetu. Należy zdecydować, czy dostęp do Webmin będzie realizowany przez tunel SSH (metoda zalecana, brak wystawionych usług), czy dostęp zostanie ograniczony wyłącznie do własnego adresu IP. Ta decyzja determinuje wszystkie kolejne kroki, dlatego należy zapoznać się z obiema opcjami przed konfiguracją zapory sieciowej.

Install Webmin from the official repository

Webmin udostępnia podpisany repozytorium apt. Skrypt instalacyjny dodaje repozytorium oraz klucz GPG, dzięki czemu przyszłe operacje apt upgrade pobierają Webmin jak każdy inny pakiet. Zapewnia to autentyczne aktualizacje zamiast pobierania pliku .deb, który nie aktualizuje się automatycznie.

curl -o webmin-setup-repo.sh https://raw.githubusercontent.com/webmin/webmin/master/webmin-setup-repo.sh
sudo sh webmin-setup-repo.sh

Skrypt wyświetla planowane działania i pyta o Setup repository? (y/N) — należy odpowiedzieć y. Po zakończeniu procesu należy zainstalować pakiet. Flaga --install-recommends pobiera wspólne zależności Perl oraz moduły SSL, co zapobiega późniejszym błędom typu missing-library dla poszczególnych modułów.

sudo apt-get install --install-recommends webmin

Nazwa tego skryptu ulegała zmianom — starsze poradniki odnoszą się do setup-repos.sh — dlatego w przypadku błędu 404 należy pobrać aktualną komendę bezpośrednio ze strony webmin.com/download zamiast używać konkretnej nazwy. Poprawna instalacja kończy się komunikatem Webmin install complete. You can now login to https://your-host:10000/ as root. Usługa jest włączona i uruchomiona, pliki konfiguracyjne znajdują się w /etc/webmin, logi żądań są zapisywane w /var/webmin/miniserv.log, a nieudane próby logowania trafiają do syslog — w systemie Ubuntu 24.04 do journald.

Przed uruchomieniem przeglądarki należy potwierdzić, że usługa działa i nasłuchuje:

sudo systemctl status webmin --no-pager
sudo ss -tlnp | grep 10000

Wymagany jest status active (running) oraz linia wskazująca, że miniserv.pl jest powiązany z 0.0.0.0:10000 — po utworzeniu tunelu adres ten zmieni się na 127.0.0.1:10000. Jeśli ss nie wyświetla żadnych danych na porcie 10000, usługa Webmin nie uruchomiła się; należy sprawdzić journalctl -u webmin -n 50 przed kontynuowaniem.

Pierwsze logowanie i ostrzeżenie o certyfikacie

Należy wejść w adres https://YOUR_SERVER_IP:10000 za pomocą przeglądarki. W nowo zainstalowanym systemie występują dwa zjawiska.

Jeśli usługa ufw jest aktywna — domyślnie obraz serwera Ubuntu jest ją nieaktywny, jednak wielu dostawców prekonfiguruje ją jako aktywną — strona nie zostanie załadowana, co opisano w sekcji błędów poniżej. Jeśli port jest otwarty, przeglądarka wyświetli pełnoekranowy komunikat blokujący: "Your connection is not private" z kodem NET::ERR_CERT_AUTHORITY_INVALID w Chrome lub SEC_ERROR_UNKNOWN_ISSUER / "Warning: Potential Security Risk Ahead" w Firefox. Jest to zjawisko oczekiwane, a nie próba włamania. Podczas instalacji Webmin wygenerował certyfikat typu self-signed (/etc/webmin/miniserv.pem). Ponieważ żaden urząd certyfikacji nie potwierdza tego certyfikatu, przeglądarka nie uznaje go za zaufany. Połączenie pozostaje zaszyfrowane; brakuje jedynie weryfikacji przez zaufany podmiot. Na tym etapie należy przejść dalej (Advanced, a następnie Proceed) — poprawna wymiana certyfikatu nastąpi w dalszej części instrukcji.

Należy zalogować się za pomocą root lub użytkownika sudo i jego hasła Unix, co przeniesie do panelu System Information. Częstym błędem jest wpisanie http:// zamiast https://. Usługa miniserv na tym porcie obsługuje protokół HTTP i zwraca komunikat "This web server is running in SSL mode. Try the URL https://...". Rozwiązaniem jest zmiana http na https w pasku adresu.

Decyzja dotycząca bezpieczeństwa: w jaki sposób uzyskano dostęp do Webmin?

Kluczowy etap konfiguracji. Panel z uprawnieniami root nie powinien być wystawiony na publiczny internet, gdzie może odpowiadać na próby logowania od skanerów z całego świata. Dostępne są dwa bezpieczne rozwiązania, wymienione w kolejności od najbardziej zalecanego.

Opcja B (SSH tunnel) jest lepsza, ponieważ nie wystawia żadnych usług na zewnątrz. Opcja A (IP allowlist) jest dopuszczalna, jeśli posiadany adres IP jest statyczny. Brak zastosowania którejkolwiek z tych metod jest błędem, któremu zapobiega niniejszy poradnik. Jeśli zamiast powyższych metod preferowane jest połączenie przez sieć prywatną, należy umieścić serwer za self-hosted WireGuard VPN i przypisać Webmin do adresu tunelu zamiast adresu publicznego.

Opcja A: ograniczenie dostępu do Webmin do konkretnego adresu IP

W panelu należy otworzyć Webmin, następnie Webmin Configuration, a potem IP Access Control. Należy wybrać opcję "Only allow from listed addresses" i wpisać publiczny adres IP, który można uzyskać po uruchomieniu polecenia curl ifconfig.me na laptopie. Następnie należy zapisać zmiany. Webmin zapisuje te ustawienia w linii allow= w pliku /etc/webmin/miniserv.conf i restartuje usługę.

Ryzyko: jeśli domowy adres IP jest dynamiczny i ulegnie zmianie lub jeśli wpisano błędny adres, nastąpi blokada dostępu. Przeglądarka wyświetli komunikat "Access denied for <your IP>" zamiast formularza logowania. W takim przypadku nie ma możliwości powrotu przez interfejs webowy. Problem można rozwiązać za pomocą konsoli serwera poprzez SSH lub VNC dostawcy:

sudo nano /etc/webmin/miniserv.conf
# find the line that begins  allow=
# correct your IP, or delete the whole line to allow all again
sudo systemctl restart webmin

Usunięcie linii allow= przywraca pełny dostęp. Należy użyć tej metody wyłącznie w celu odzyskania dostępu, a następnie niezwłocznie ustawić poprawną wartość.

Opcja B: wiązanie do localhost i tunelowanie przez SSH (rekomendowane)

Najlepszym rozwiązaniem zamiast tworzenia list zezwoleń jest całkowite wyłączenie nasłuchiwania na interfejsie publicznym. Należy skonfigurować miniserv tak, aby wiązał się tylko z interfejsem loopback, a następnie uzyskać do niego dostęp poprzez zaufany, zaszyfrowany tunel SSH.

Należy edytować plik /etc/webmin/miniserv.conf i dodać lub zmienić jedną linię:

bind=127.0.0.1

Należy zrestartować usługę za pomocą sudo systemctl restart webmin. Webmin jest teraz nieosiągalny z internetu — skanowanie portu 10000 nie zwraca wyników, a wcześniejsza weryfikacja ss wykazuje wiązanie do 127.0.0.1:10000. Z poziomu laptopa należy otworzyć tunel:

ssh -L 10000:localhost:10000 youruser@YOUR_SERVER_IP

Należy pozostawić tę sesję otwartą i przejść pod adres https://localhost:10000. Ruch sieciowy przesyłany jest wewnątrz protokołu SSH, który jest już uwierzytelniony kluczem i zaszyfrowany, dlatego można bezpiecznie zaakceptować certyfikat typu self-signed — warstwa SSH zapewnia rzeczywistą ochronę. Po zamknięciu sesji SSH usługa Webmin staje się niedostępna. Nie ma potrzeby tworzenia list zezwoleń ani wystawiania usług na świat.

Jeśli ustawiono bind=127.0.0.1 i zapomniano o tunelu, zdalny dostęp zostanie przerwany — jest to zamierzone działanie funkcji, a nie błąd. Odzyskanie dostępu odbywa się tak samo jak w Opcji A: należy usunąć linię bind lub ustawić bind=0.0.0.0 z poziomu konsoli, a następnie zrestartować usługę. Jest to ta sama metoda tunelowania, która jest stosowana w celu uzyskania dostępu do zdalnego serwera deweloperskiego uruchamiającego Claude Code w tmux — jedna sesja SSH zapewnia prywatność wszystkich danych bez konieczności wystawiania dodatkowych usług na interfejs publiczny.

Zastąp certyfikat self-signed rzeczywistym certyfikatem

W przypadku wystawiania usługi Webmin na nazwie hosta (zgodnie z Opcją A), należy wyeliminować ostrzeżenie przeglądarki poprzez użycie rzeczywistego certyfikatu Let's Encrypt. Wymagana jest nazwa DNS — na przykład panel.example.com — z rekordem A wskazującym na serwer oraz usługa odpowiadająca na wyzwanie HTTP (port 80) podczas walidacji.

Webmin posiada wbudowaną tę funkcję: Webmin, następnie Webmin Configuration, następnie SSL Encryption, następnie karta Let's Encrypt. Należy wprowadzić nazwę hosta, wskazać ścieżkę w polu "website root directory", która jest obsługiwana na porcie 80 dla danej domeny, i zatwierdzić żądanie. Webmin pobiera certyfikat, automatycznie aktualizuje linie certfile= oraz keyfile= w pliku miniserv.conf i odnawia certyfikat przed jego wygaśnięciem. Po odświeżeniu strony ikona kłódki będzie prawidłowa.

Główna trudność: Serwer Webmin działa na porcie 10000, a nie 80, zatem wyzwanie http-01 wymaga działającego serwera WWW — Apache lub nginx — obsługującego panel.example.com na porcie 80 lub zastosowania walidacji opartej na DNS. Na serwerze z samym Webmin, gdzie port 80 jest nieobsługiwany, żądanie zakończy się błędem walidacji, dopóki nie zostanie zapewniona możliwość dotarcia do pliku wyzwania przez Let's Encrypt. Mechanizmy — rekordy DNS, wyzwanie port-80 oraz odnawianie — są identyczne jak przy wystawianiu certyfikatu dla dowolnej witryny. Szczegółowy opis procesu walidacji i konfiguracji DNS znajduje się w przewodniku Let's Encrypt TLS certificates with Certbot and nginx guide. Jeśli użyto tunelu SSH, można pominąć tę sekcję: certyfikat self-signed jest wystarczający w połączeniu przez SSH, a certyfikat wystawiony dla panel.example.com wywołałby jedynie błąd niezgodności nazwy podczas odwiedzania https://localhost:10000.

Włączenie uwierzytelniania dwuskładnikowego

Hasło samo w sobie zapewnia niewystarczającą ochronę panelu root, dlatego należy dodać drugi składnik. Otwórz Webmin, następnie Webmin Configuration, a potem Two-Factor Authentication. Wybierz dostawcę Google Authenticator — jest to standard TOTP, kompatybilny z Authy, 1Password lub dowolną aplikacją typu authenticator — i zapisz zmiany. Webmin zainstaluje niezbędny moduł Perl (Authen::OATH oraz generator kodów QR) i aktywuje funkcję; sam ten krok nie zabezpiecza jeszcze żadnego konta.

Następnie należy zarejestrować urządzenie dla każdego konta. Po włączeniu 2FA otwórz Webmin, następnie Webmin Users, wybierz konto, wybierz Enable Two-Factor For User, a Webmin wyświetli kod QR; zeskanuj go w aplikacji i wprowadź jeden wygenerowany kod w celu potwierdzenia. Od tego momentu podczas logowania po hasle wymagany będzie sześciocyfrowy token. Należy dokonać rejestracji przed wylogowaniem — jeśli 2FA jest wymagane, a konto nie zostało jeszcze powiązane z kodem, wymóg ten można usunąć z konsoli, jednak wcześniejsza rejestracja jest znacznie prostszym rozwiązaniem.

Dodaj Fail2ban w celu blokowania ataków brute-force

Nawet ograniczony punkt końcowy logowania powinien reagować na powtarzające się nieudane próby. Webmin raportuje nieudane logowania do syslog w formacie webmin[12345]: Invalid login as root from 10.0.0.9 lub Non-existent login as ... dla nazw użytkownika, które nie są kontami Unix. W systemie Ubuntu 24.04 wpisy te trafiają do systemd journal, ponieważ standardowa instalacja nie zawiera /var/log/auth.log. Fail2ban posiada fabryczny filtr webmin-auth, który dopasowuje dokładnie te dwa typy wpisów. Poniższa konfiguracja jail nie wymaga własnych wyrażeń regularnych ani ścieżek do plików logów, ponieważ sama ustawia backend = systemd.

Utwórz /etc/fail2ban/jail.d/webmin.local:

[webmin-auth]
enabled  = true
port     = 10000
filter   = webmin-auth
backend  = systemd
maxretry = 4
bantime  = 1h

Przeładuj konfigurację za pomocą sudo systemctl restart fail2ban, a następnie sprawdź, czy jail jest aktywny:

sudo fail2ban-client status webmin-auth

Początkowo licznik blokad (ban counter) powinien wynosić zero (w przypadku backendu journal brakuje linii File list:). Aby przetestować działanie mechanizmu, należy celowo wywołać kilka nieudanych prób logowania z innej sieci, a następnie ponownie uruchomić polecenie status i obserwować wzrost wartości Currently banned. Jeśli wartość nie rośnie, należy sprawdzić, czy adres testowy nie znajduje się w ignoreip, oraz uruchomić journalctl SYSLOG_IDENTIFIER=webmin na serwerze, aby potwierdzić zapisywanie linii Invalid login. Jeśli Fail2ban nie został jeszcze zainstalowany, poradnik Fail2ban on Ubuntu 24.04 for SSH guide opisuje instalację oraz konfigurację jail dla SSH, którą należy uruchomić równolegle z tym rozwiązaniem.

Ograniczanie uprawnień użytkowników Webmin

Nie wszyscy użytkownicy panelu wymagają uprawnień root. W sekcji Webmin, then Webmin Users można utworzyć dodatkowe konta logowania i nadać każdemu tylko niezbędne moduły — na przykład operator kopii zapasowych może mieć dostęp wyłącznie do modułów cron oraz filesystem. Podczas edycji użytkownika wyświetlana jest lista wszystkich modułów; odznaczenie modułu powoduje jego usunięcie z menu użytkownika oraz blokuje powiązane adresy URL. Stanowi to mechanizm obronny (defence in depth): nawet przejęta sesja Webmin o niskich uprawnieniach nie pozwoli na zmianę /etc/shadow, jeśli moduł Users nie znajduje się na jej liście.

Aktualizacja Webmin

Ponieważ zainstalowano pakiet z repozytorium apt, sudo apt update && sudo apt upgrade pobiera nowe wersje Webmin wraz z resztą systemu. Należy niezwłocznie instalować poprawki — panele kontrolne są częstym celem ataków. Webmin umożliwia samodzielną aktualizację poprzez Webmin, Webmin Configuration, Upgrade Webmin, jednak metoda apt jest bardziej zalecana w systemach Ubuntu, ponieważ zapewnia spójność wersji z pozostałymi pakietami. Proces ten nie jest opcjonalny: w przeszłości kilka podatności CVE w Webmin umożliwiało zdalne wykonanie kodu (remote-code-execution). Różnica między systemem załatanym a przejętym zależała wyłącznie od szybkości przeprowadzenia aktualizacji przez administratora.

Tryby awarii oraz wyświetlane komunikaty

"Your connection is not private" / NET::ERR_CERT_AUTHORITY_INVALID. Wyświetlane przy pierwszym ładowaniu. Przyczyna: certyfikat self-signed wygenerowany przez Webmin podczas instalacji nie posiada zaufanego wystawcy. Nie jest to atak; kanał jest szyfrowany, ale brak weryfikacji tożsamości. Rozwiązanie: na tym etapie należy pominąć ostrzeżenie, a następnie wystawić certyfikat Let's Encrypt lub zaakceptować je na stałe, jeśli dostęp do Webmin odbywa się przez tunel SSH.

"This web server is running in SSL mode. Try the URL https://..." Wprowadzono http://server:10000. Usługa miniserv obsługuje protokół TLS wyłącznie na tym porcie i informuje o tym w tekście jawnym. Rozwiązanie: należy zmienić http na https w pasku adresu.

Page times out — ERR_CONNECTION_TIMED_OUT / "This site can't be reached". Zapytanie nie dociera do Webmin. W systemie Ubuntu jest to najczęściej spowodowane blokowaniem portu 10000 przez ufw. Należy to zweryfikować za pomocą sudo ufw status; jeśli port 10000 nie figuruje na liście, należy go otworzyć za pomocą sudo ufw allow 10000/tcp lub (zalecane) pozostawić zamknięty i użyć tunelu SSH z Opcji B. Należy rozróżnić: timeout oznacza, że firewall cicho odrzuca pakiety, natomiast ERR_CONNECTION_REFUSED oznacza, że port jest dostępny, ale Webmin nie działa — należy sprawdzić sudo systemctl status webmin.

"Access denied for <your IP>." Skonfigurowano IP Access Control w Opcji A, a aktualny adres IP nie znajduje się na liście zezwolonych (np. z powodu zmiany dynamicznego adresu IP lub błędu w wpisywaniu). Nie ma możliwości powrotu przez przeglądarkę. Rozwiązanie z poziomu konsoli: należy edytować linię allow= w pliku /etc/webmin/miniserv.conf, poprawić ją lub usunąć, a następnie uruchomić sudo systemctl restart webmin.

"Login failed. Please try again." przy poprawnych danych logowania. Konto nie posiada hasła Unix, co jest standardem w obrazach chmurowych opartych wyłącznie na kluczach. Webmin uwierzytelnia przez PAM przy użyciu hasła Unix, którego użytkownik nie posiada. Rozwiązanie: należy uruchomić sudo passwd youruser na serwerze, a następnie się zalogować. Jeśli /var/webmin/miniserv.log wyświetla Non-existent login as ..., wpisana nazwa użytkownika nie jest kontem Unix.

W przypadku większej liczby serwerów automatyzacja jest skuteczniejsza niż panel sterowania na każdej maszynie: twój pierwszy playbook Ansible to pierwszy krok w tym kierunku.

FAQ

Czy wystawianie Webmin na publiczny internet jest bezpieczne?

Webmin wystawiony na publiczny internet należy traktować jak powłokę root z formularzem logowania. Bezpieczeństwo można zapewnić jedynie poprzez warstwy: certyfikat SSL, uwierzytelnianie dwuskładnikowe (2FA), Fail2ban oraz restrykcyjną listę zezwolonych adresów IP lub całkowite wyłączenie dostępu publicznego. Najbezpieczniejsza konfiguracja to przypisanie Webmin do 127.0.0.1 i dostęp przez tunel SSH, dzięki czemu port 10000 nie odpowiada nikomu w otwartym internecie.

Jak wyłączyć ostrzeżenie o certyfikacie Webmin?

Ostrzeżenie (NET::ERR_CERT_AUTHORITY_INVALID) występuje, ponieważ Webmin używa certyfikatu typu self-signed. Należy wygenerować certyfikat właściwy w menu Webmin, Webmin Configuration, SSL Encryption, Let's Encrypt, używając nazwy DNS wskazującej na serwer obsługujący wyzwanie portu 80 do walidacji. Jeśli Webmin jest dostępny wyłącznie przez tunel SSH do localhost, ostrzeżenie nie stanowi zagrożenia, ponieważ SSH zapewnia szyfrowanie i uwierzytelnianie połączenia, więc można bezpiecznie zaakceptować certyfikat self-signed.

Jak ograniczyć dostęp do Webmin tylko dla mojego adresu IP?

W menu Webmin, Webmin Configuration, IP Access Control należy wybrać opcję "Only allow from listed addresses" i wpisać publiczny adres IP z curl ifconfig.me. Webmin zapisuje te dane w linii allow= pliku /etc/webmin/miniserv.conf. Należy uważać na dynamiczne adresy IP w sieciach domowych: zmiana adresu spowoduje blokadę dostępu, co wymaga naprawy linii allow= z konsoli serwera. W praktyce bardziej niezawodna jest statyczna adresacja lub metoda tunelu SSH.

Dlaczego logowanie nie powodzi się mimo poprawnego hasła?

Webmin autoryzuje użytkowników poprzez PAM w oparciu o hasło Unix. Obrazy chmurowe zazwyczaj korzystają wyłącznie z kluczy, a domyślne konta nie mają ustawionego hasła, przez co PAM nie ma z czym dopasować danych i logowanie zostaje odrzucone. Należy uruchomić sudo passwd youruser na serwerze, aby ustawić hasło, a następnie się zalogować. Linia Non-existent login as ... w /var/webmin/miniserv.log oznacza, że dana nazwa użytkownika nie jest rzeczywistym kontem Unix.

Do czego przydatny jest Webmin w porównaniu do standardowego SSH?

Webmin stanowi warstwę ułatwiającą obsługę i odkrywanie funkcji systemu. Jest przydatny do przeglądania plików logów, zarządzania użytkownikami i harmonogramem cron, edycji reguł firewall oraz monitorowania stanu dysków i usług bez konieczności pamiętania wszystkich komend. Jest to rozwiązanie wygodne dla administratorów okazjonalnych lub zespołów o zróżnicowanych umiejętnościach. Standardowe SSH jest szybsze, umożliwia automatyzację skryptami i zapewnia znacznie mniejszą powierzchnię ataku podczas rutynowych prac. Wielu administratorów używa obu metod: SSH do codziennej pracy oraz Webmin przypisanego do localhost za tunelem do okazjonalnych zadań graficznych.