Jinsi ya kusakinisha na kulinda Webmin kwenye Ubuntu 24.04

Unachojenga

Webmin ni kidhibiti cha seva kupitia kivinjari kinachokupa uwezo wa kusimamia seva nzima ya Linux, watumiaji, vifurushi, cron jobs, firewall, Apache, BIND, diski, na mamia ya moduli nyingine, inayopatikana kupitia HTTPS kwenye port 10000. Ufungaji wake unahitaji amri tatu tu na huchukua takriban dakika moja. Sababu ya mwongozo huu kutumia muda mwingi katika nusu ya pili ni kwamba Webmin huingia kama root na inaweza kufanya kila kitu ambacho root anaweza kufanya. Webmin iliyo wazi au isiyo na uthibitisho si "hatari ya usimamizi"; ni uvamizi kamili wa seva uliowekewa ukurasa wa kuingia mbele yake. Kwa hivyo, ifunge ndani ya dakika kumi, kisha tumia muda uliobakia kuhakikisha kuwa wewe pekee ndiye unayeweza kuifikia.

Mahitaji ya awali na onyo moja la dhati

VPS ya Ubuntu 24.04 KVM mpya yenye root au mtumiaji mwenye haki za sudo. Webmin inatumia Perl na ni nyepesi; 1 GB ya RAM inatosha na inafanya kazi vizuri kwa chini ya robo ya gigabyte. Inasikiliza kwenye TCP 10000 kupitia seva yake ya wavuti iliyojumuishwa (miniserv.pl), si Apache au nginx, kwa hivyo hakuna kingine kinachohitajika kusakinishwa kwanza.

Mambo mawili ya kuamua kabla ya kuanza. Kwanza, akaunti unayotumia kuingia: Webmin inathibitisha utambulisho kupitia akaunti za Unix kwa kutumia PAM, kwa hivyo unaingia kama root au mtumiaji aliye kwenye kundi la sudo kwa kutumia nywila ya Unix ya akaunti hiyo. Picha za mifumo ya wingu (cloud images) kwa kawaida hutumia funguo pekee bila nywila kuwekwa kwa mtumiaji wa kawaida, na Webmin haiwezi kuingiza mtumiaji asiye na nywila. Weka nywila kwa kutumia sudo passwd youruser kwanza, la sivyo kuingia kutafeli bila kujali unachochapa.

Pili, na hili ndilo onyo: usifungue tu port 10000 kwenye Internet kisha uondoke. Amua sasa kama utafikia Webmin kupitia SSH tunnel (inapendekezwa, hakuna kinachowekwa wazi) au uizuie kwa IP yako pekee. Uamuzi huo mmoja huunda kila hatua hapa chini, kwa hivyo soma chaguzi zote mbili kabla ya kugusa firewall.

Sakinisha Webmin kutoka kwenye hazina rasmi

Webmin huchapisha hazina ya apt iliyotiwa saini. Hati ya usanidi huongeza hazina hiyo na ufunguo wake wa kusaini wa GPG ili uendeshaji wa apt upgrade wa baadaye uvute Webmin kama kifurushi kingine chochote, na upate masasisho yaliyothibitishwa badala ya .deb iliyopakuliwa ambayo haijirekebishi yenyewe.

curl -o webmin-setup-repo.sh https://raw.githubusercontent.com/webmin/webmin/master/webmin-setup-repo.sh
sudo sh webmin-setup-repo.sh

Hati hiyo huchapisha mambo inayotaka kufanya na kuuliza Setup repository? (y/N), jibu y. Inapomaliza, sakinisha kifurushi hicho. Bendera ya --install-recommends huvuta vitegemezi vya kawaida vya Perl na SSL ili moduli binafsi zisifeli baadaye kwa sababu ya makosa ya maktaba zilizokosekana.

sudo apt-get install --install-recommends webmin

Webmin imebadilisha jina la hati hii hapo awali, miongozo ya zamani inarejelea setup-repos.sh, kwa hivyo ikiwa URL ya moja kwa moja inarejesha 404, chukua ile ya sasa ya mstari mmoja moja kwa moja kutoka webmin.com/download badala ya kubandika jina. Usakinishaji sahihi huishia na mstari kama Webmin install complete. You can now login to https://your-host:10000/ as root. Huduma imewezeshwa na inaendeshwa, usanidi unapatikana chini ya /etc/webmin, maombi huwekwa kwenye kumbukumbu katika /var/webmin/miniserv.log, na majaribio ya kuingia yaliyofeli huenda kwenye syslog, kwenye Ubuntu 24.04, ni systemd journal.

Thibitisha kuwa imewashwa na inasikiliza kabla ya kufungua kivinjari:

sudo systemctl status webmin --no-pager
sudo ss -tlnp | grep 10000

Unataka hali ya active (running) na mstari unaoonyesha miniserv.pl imefungwa kwenye 0.0.0.0:10000, anwani hiyo hubadilika kuwa 127.0.0.1:10000 mara tu unapotumia njia ya tunnel hapa chini. Ikiwa ss haionyeshi chochote kwenye 10000, Webmin haikuanza; soma journalctl -u webmin -n 50 kabla ya kuendelea zaidi.

Kuingia kwa mara ya kwanza, na onyo la cheti

Elekeza kivinjari chako kwenye https://YOUR_SERVER_IP:10000. Mambo mawili hutokea kwenye seva mpya.

Ikiwa ufw inafanya kazi, ingawa picha ya seva ya Ubuntu huja ikiwa imezimwa, watoa huduma wengi huiwasha mapema, ukurasa hautapakia kabisa, jambo ambalo limefafanuliwa katika njia za hitilafu hapa chini. Ikiwa port iko wazi, kivinjari chako kitatoa kizuizi cha ukurasa mzima: "Your connection is not private" chenye msimbo NET::ERR_CERT_AUTHORITY_INVALID katika Chrome, au SEC_ERROR_UNKNOWN_ISSUER / "Warning: Potential Security Risk Ahead" katika Firefox. Hii inatarajiwa na si uvamizi. Webmin ilitengeneza cheti kilichojitia saini (self-signed certificate) wakati wa usakinishaji (/etc/webmin/miniserv.pem), na kwa sababu hakuna mamlaka ya vyeti (certificate authority) inayokihakiki, kivinjari kinakataa kukiidhinisha kimyakimya. Muunganisho bado umesimbwa kwa njia fiche; haujathibitishwa tu na wahusika wengine. Bofya ili kuendelea (Advanced, kisha Proceed) kwa sasa, tutabadilisha cheti hiki ipasavyo hapo baadaye.

Ingia ukitumia root au mtumiaji wako wa sudo na nenosiri lake la Unix, na utafika kwenye dashibodi ya System Information. Kosa moja la kawaida hapa ni kuandika http:// badala ya https://. miniserv hujibu kwa HTTP ya kawaida kwenye port hiyo kwa maandishi kamili "This web server is running in SSL mode. Try the URL https://...", suluhisho ni kubadilisha http kuwa https kwenye upau wa anwani.

Uamuzi wa kiusalama: utafikiaje Webmin?

Sasa sehemu muhimu. Paneli yenye mamlaka sawa na root haipaswi kuwekwa kwenye mtandao wa umma ili kujibu majaribio ya kuingia kutoka kwa kila skana iliyopo duniani. Una chaguo mbili zinazokubalika, kwa kuzingatia ubora wake. Kila kiolesura cha usimamizi cha self-hosted hukumbana na swali hili, ndiyo maana kama Vaultwarden ni salama hutegemea endpoint yake ya usimamizi na faili lake la backup badala ya usimbaji wake.

SSH tunnel katika Chaguo B ndiyo bora zaidi, kwa sababu haifichui chochote kabisa. IP allowlist katika Chaguo A inakubalika ikiwa anwani yako ni static. Kutofanya lolote kati ya hayo ndilo kosa ambalo mwongozo huu wote upo ili kulizuia. Ikiwa ungependelea kufikia Webmin kupitia mtandao wa faragha badala ya chaguo hizo, weka seva hiyo nyuma ya self-hosted WireGuard VPN na ufunge Webmin kwenye anwani ya tunnel badala ya ile ya umma.

Chaguo A: kuzuia Webmin kwa IP yako

Katika paneli, fungua Webmin, kisha Webmin Configuration, kisha IP Access Control. Chagua "Only allow from listed addresses" na uweke IP yako ya umma, ambayo unaweza kuipata kwa kuendesha curl ifconfig.me kwenye kompyuta yako. Hifadhi. Webmin huandika hili kwenye mstari wa allow= ndani ya /etc/webmin/miniserv.conf na kujianzisha upya.

Mtego: ikiwa IP ya nyumbani kwako ni ya kubadilika (dynamic) na inabadilika, au ukikosea kuandika anwani, utajifungia nje. Kivinjari kitaonyesha "Access denied for <your IP>" na hakuna fomu ya kuingia, na hakuna njia ya wavuti ya kurudi. Unarekebisha hili kutoka kwa konsole ya seva kupitia SSH au VNC ya mtoa huduma wako:

sudo nano /etc/webmin/miniserv.conf
# find the line that begins  allow=
# correct your IP, or delete the whole line to allow all again
sudo systemctl restart webmin

Kufuta mstari wa allow= kunarejesha ufikiaji wazi kabisa, kwa hivyo fanya hivyo ili kurejesha ufikiaji pekee, kisha uweke thamani sahihi mara moja.

Chaguo B: funga kwenye localhost na utumie tunnel kupitia SSH (inapendekezwa)

Njia bora kuliko orodha yoyote ya kuruhusu (allowlist) ni kutokusikiliza kabisa kwenye interface ya umma. Iambie miniserv ifunge kwenye loopback pekee, kisha uifikie kupitia SSH tunnel iliyosimbwa ambayo tayari unaiamini.

Hariri /etc/webmin/miniserv.conf na uongeze, au ubadilishe, mstari mmoja:

bind=127.0.0.1

Anzisha upya kwa kutumia sudo systemctl restart webmin. Webmin sasa haiwezi kufikiwa kutoka kwenye Internet, uchunguzi wa port 10000 hautaona chochote, na ukaguzi wa ss ulioufanya awali sasa utaonyesha kuwa imefungwa kwenye 127.0.0.1:10000. Kutoka kwenye laptop yako, fungua tunnel:

ssh -L 10000:localhost:10000 youruser@YOUR_SERVER_IP

Acha session hiyo ikiwa wazi na uende kwenye https://localhost:10000. Trafiki inapita ndani ya SSH, ambayo tayari imethibitishwa na key yako na kusimbwa, kwa hivyo unaweza kukubali cheti cha self-signed bila hofu; safu ya SSH ndiyo inayotoa ulinzi wa kweli. Funga session ya SSH na Webmin itatoweka. Hakuna cha kuweka kwenye allowlist, hakuna kilicho wazi, na hakuna huduma ya ziada ya kuimarisha.

Ikiwa utaweka bind=127.0.0.1 na kusahau kuhusu tunnel, ufikiaji wa mbali utasimama; hiyo ni sifa ya kazi hiyo, si hitilafu. Rekebisha kwa njia ile ile ya Chaguo A: kutoka kwenye console, ondoa mstari wa bind au weka bind=0.0.0.0, kisha uanzishe upya. Hii ni tabia ile ile ya kutumia tunnel unayoweza kutumia kufikia mashine ya mbali ya maendeleo inayoendesha Claude Code ndani ya tmux, session moja ya SSH, kila kitu ni cha faragha, hakuna kitu kingine kinachosikiliza kwenye interface ya umma.

Badilisha cheti cha self-signed na cheti halisi

Ikiwa utaweka Webmin hadharani kwa kutumia hostname chini ya Chaguo A, ondoa onyo la kivinjari kwa kutumia cheti halisi cha Let's Encrypt. Unahitaji jina la DNS, tuseme panel.example.com, lenye A record inayoelekeza kwenye seva, na kitu kinachojibu changamoto ya HTTP kwenye port 80 wakati wa uthibitishaji.

Webmin ina kipengele hiki ndani yake: Webmin, kisha Webmin Configuration, kisha SSL Encryption, kisha kichupo cha Let's Encrypt. Ingiza hostname, elekeza "website root directory" kwenye njia inayohudumiwa kwenye port 80 kwa domain hiyo, kisha omba cheti. Webmin hupata cheti, husasisha mistari ya certfile= na keyfile= katika miniserv.conf kwa ajili yako, na kukihuisha kiotomatiki kabla hakijaisha muda wake. Pakia upya ukurasa na alama ya kufuli itakuwa safi.

Changamoto moja ya kweli: Seva ya Webmin yenyewe inaendeshwa kwenye 10000, si 80, kwa hivyo changamoto ya http-01 inahitaji seva halisi ya wavuti, Apache au nginx, inayojibu kwa ajili ya panel.example.com kwenye port 80, au uthibitishaji wa msingi wa DNS badala yake. Kwenye seva ya Webmin pekee bila kitu chochote kwenye port 80, ombi litafeli kwa hitilafu ya uthibitishaji hadi utakapopatia Let's Encrypt njia ya kufikia faili ya changamoto. Mbinu za kiufundi, DNS records, changamoto ya port 80, na uhuishaji, ni sawa na kutoa cheti kwa tovuti yoyote. Ikiwa unataka msingi huo, mwongozo wa Let's Encrypt TLS certificates with Certbot and nginx unaelezea mtiririko wa uthibitishaji na usanidi wa DNS kwa kina. Ikiwa ulichagua njia ya SSH-tunnel unaweza kuruka sehemu hii kabisa: cheti cha self-signed ni sawa nyuma ya SSH, na cheti halisi kilichotolewa kwa ajili ya panel.example.com kingetoa tu onyo la kutolingana kwa jina unapotembelea https://localhost:10000 hata hivyo.

Washa uthibitishaji wa hatua mbili (2FA)

Nenosiri pekee ni ulinzi dhaifu kwa paneli ya root, kwa hivyo ongeza hatua ya pili. Fungua Webmin, kisha Webmin Configuration, kisha Two-Factor Authentication. Chagua mtoa huduma wa Google Authenticator, ambao ni kiwango cha kawaida cha TOTP, kwa hivyo hufanya kazi na Authy, 1Password, au programu yoyote ya uthibitishaji, kisha uhifadhi. Webmin husakinisha moduli ndogo ya Perl inayohitajika (Authen::OATH pamoja na jenereta ya QR) na kuwasha kipengele hiki; hatua hii pekee haimlindi mtumiaji yeyote bado.

Kila akaunti kisha hujiandikisha na kifaa chake. Baada ya 2FA kuwashwa, fungua Webmin, kisha Webmin Users, chagua akaunti husika, chagua Enable Two-Factor For User, na Webmin itaonyesha QR code; ichanganue kwa kutumia programu yako na uweke kodi moja iliyotolewa ili kuthibitisha. Kuanzia hapo, kuingia kwenye mfumo kutahitaji token ya tarakimu sita baada ya nenosiri. Jiandikishe kabla ya kutoka (logout); ikiwa 2FA inahitajika lakini akaunti yako haijachanganua kodi, bado unaweza kuondoa hitaji hilo kupitia console, lakini ni rahisi zaidi kujiandikisha kwanza.

Ongeza Fail2ban ili kuzuia majaribio ya brute-force ya kuingia

Hata sehemu ya kuingia iliyozuiliwa inapaswa kuadhibu majaribio yanayofeli mara kwa mara. Webmin huripoti majaribio yaliyofeli kwenye syslog kwa namna ya webmin[12345]: Invalid login as root from 10.0.0.9, au Non-existent login as ... kwa jina la mtumiaji ambalo si akaunti ya Unix. Kwenye Ubuntu 24.04 mistari hiyo huenda kwenye systemd journal, kwa sababu picha ya kawaida ya mfumo haina /var/log/auth.log. Fail2ban inakuja na kichujio cha kawaida cha webmin-auth kinacholingana kikamilifu na mistari hiyo miwili, na jail iliyo hapa chini hujiwekea backend = systemd yenyewe, kwa hivyo haihitaji regex maalum au njia ya logi.

Tengeneza /etc/fail2ban/jail.d/webmin.local:

[webmin-auth]
enabled  = true
port     = 10000
filter   = webmin-auth
backend  = systemd
maxretry = 4
bantime  = 1h

Pakia upya kwa kutumia sudo systemctl restart fail2ban, kisha thibitisha kuwa jail inafanya kazi:

sudo fail2ban-client status webmin-auth

Unapaswa kuona jail ikiwa imeorodheshwa na kaunta ya ban ya sifuri mwanzoni (kwenye backend ya journal hakuna mstari wa File list:). Ili kuthibitisha muunganisho, feli kuingia kwa makusudi mara chache kutoka mtandao mwingine, kisha endesha tena amri ya status na uangalie Currently banned ikipanda. Ikiwa haipandi, hakikisha hujaribu kutoka anwani iliyo kwenye ignoreip ya Fail2ban, na uendeshe journalctl SYSLOG_IDENTIFIER=webmin kwenye seva ili kuthibitisha kuwa mistari ya Invalid login inaandikwa kweli. Ikiwa Fail2ban haijasakinishwa kwenye mashine hii bado, mwongozo wa Fail2ban kwenye Ubuntu 24.04 kwa ajili ya SSH unaelezea usakinishaji na jail ya SSH unayopaswa kuiendesha sambamba na hii.

Zuia uwezo wa kila mtumiaji wa Webmin

Si kila mtu anayehitaji paneli hii anahitaji ufikiaji wa root kwenye kila kitu. Chini ya Webmin, kisha Webmin Users, tengeneza akaunti za ziada za Webmin na umpe kila mmoja moduli anazohitaji pekee; kwa mfano, msimamizi wa backups anayeona moduli za cron na filesystem pekee. Kuhariri mtumiaji kunaonyesha orodha ya kila moduli; kuondoa tiki kwenye moduli moja huiondoa kwenye menyu ya mtumiaji huyo na kuzuia URL zake za msingi. Hii ni mbinu ya ulinzi wa tabaka (defence in depth): hata kikao cha Webmin chenye upendeleo mdogo kikiibwa, hakiwezi kubadilisha /etc/shadow ikiwa moduli ya Users haimo kwenye orodha yake.

Kuweka Webmin katika hali ya kisasa

Kwa sababu uliweka programu hii kutoka kwenye apt repository, sudo apt update && sudo apt upgrade huleta matoleo mapya ya Webmin pamoja na mfumo wote. Fanya viraka (patch) mara moja; jopo la kudhibiti (control panel) ni shabaha inayopendwa na washambuliaji. Webmin inaweza pia kujisasisha yenyewe kupitia Webmin, kisha Webmin Configuration, kisha Upgrade Webmin, lakini njia ya apt ni safi zaidi kwenye Ubuntu kwa sababu inahakikisha matoleo yanalingana na usimamizi mwingine wa vifurushi (package management) kwenye mfumo wako. Usichukulie hili kama jambo la hiari: baadhi ya CVE za Webmin zilizopita zilikuwa na hitilafu za remote-code-execution, na kitu pekee kilichotofautisha kati ya "kufanyiwa viraka" na "kudukuliwa" ni kasi ambayo msimamizi alifanya nayo sasisho.

Njia za kufeli, pamoja na ujumbe utakaouona

"Your connection is not private" / NET::ERR_CERT_AUTHORITY_INVALID. Huonekana wakati wa kwanza kupakia ukurasa. Sababu: cheti cha self-signed kilichotengenezwa na Webmin wakati wa usakinishaji hakina issuer anayeaminika. Hili si shambulizi; njia imesimbwa (encrypted), lakini haijathibitishwa na mamlaka. Suluhisho: endelea kupitia onyo hilo kwa sasa, kisha toa cheti halisi cha Let's Encrypt, au likubali kabisa ikiwa unafikia Webmin kupitia SSH tunnel.

"This web server is running in SSL mode. Try the URL https://..." Umeandika http://server:10000. miniserv hutumia TLS pekee kwenye port hiyo na inakuambia hivyo kwa maandishi ya kawaida. Suluhisho: badilisha http kuwa https kwenye sehemu ya anwani ya kivinjari.

Ukurasa unachelewa kujibu (timeout), ERR_CONNECTION_TIMED_OUT / "This site can't be reached". Ombi halifiki kwenye Webmin. Kwenye Ubuntu, hii mara nyingi husababishwa na ufw kuzuia port 10000. Thibitisha kwa sudo ufw status; ikiwa 10000 haijaorodheshwa, ifungue kwa sudo ufw allow 10000/tcp au, ni bora zaidi, iache ikiwa imefungwa na utumie SSH tunnel kutoka Chaguo B. Kumbuka tofauti: timeout inamaanisha firewall inakata pakiti kimyakimya, wakati ERR_CONNECTION_REFUSED inamaanisha port inafikika lakini Webmin haiendeshi, kagua sudo systemctl status webmin.

"Access denied for <your IP>." Umeweka IP Access Control chini ya Chaguo A na anwani yako ya sasa haimo kwenye orodha ya kuruhusiwa, au IP yako ya dynamic imebadilika, au kuna kosa la kuandika. Hakuna njia ya kurudi kupitia kivinjari. Suluhisho kutoka kwenye console: hariri mstari wa allow= katika /etc/webmin/miniserv.conf, urekebishe au uufute, kisha endesha sudo systemctl restart webmin.

"Login failed. Please try again." na nywila unazojua ni sahihi. Akaunti haina nywila ya Unix, jambo ambalo ni la kawaida kwenye picha za wingu (cloud images) zinazotumia funguo pekee. Webmin huthibitisha kupitia PAM dhidi ya nywila ya Unix, na nywila hiyo haipo kwa mtumiaji huyo. Suluhisho: endesha sudo passwd youruser kwenye seva, kisha ingia. Ikiwa /var/webmin/miniserv.log inaonyesha Non-existent login as ..., unaandika jina la mtumiaji ambalo si akaunti ya Unix kabisa.

Kwa seva zaidi ya mbili, otomatiki (automation) inafaa zaidi kuliko kutumia control panel kwenye kila mashine: ansible playbook yako ya kwanza ndipo unapoanzia.

FAQ

Je, ni salama kuweka Webmin kwenye mtandao wa umma?

Chukulia Webmin inayoelekea kwenye mtandao kama shell ya root yenye ukurasa wa kuingia, kwa sababu ndivyo ilivyo hasa. Inakuwa salama kwa kiasi tu ikiwa imewekewa matabaka ya ulinzi: cheti halisi, uthibitishaji wa hatua mbili (2FA), Fail2ban, na aidha orodha finyu ya IP zinazoruhusiwa au, bora zaidi, kutoiweka hadharani kabisa. Usanidi wenye hatari ndogo zaidi ni kufunga Webmin kwenye 127.0.0.1 na kuifikia kupitia SSH tunnel, ili port 10000 isijibu mtu yeyote kwenye mtandao wa wazi.

Ninawezaje kuondoa onyo la cheti cha Webmin?

Onyo hilo (NET::ERR_CERT_AUTHORITY_INVALID) huonekana kwa sababu Webmin inakuja na cheti kilichojitolea (self-signed). Toa cheti halisi kutoka Webmin, kupitia Webmin Configuration, SSL Encryption, Let's Encrypt, kwa kutumia jina la DNS linaloelekeza kwenye seva hiyo na huduma inayoshughulikia changamoto ya port 80 kwa ajili ya uthibitisho. Ikiwa unafikia Webmin kupitia SSH tunnel ya localhost pekee, onyo hilo halina madhara; SSH tayari inaficha na kuthibitisha muunganisho, na unaweza kukubali cheti hicho bila hofu.

Ninawezaje kuzuia Webmin kwa IP address yangu pekee?

Nenda kwenye Webmin, Webmin Configuration, IP Access Control, chagua "Only allow from listed addresses", na uweke IP yako ya umma kutoka curl ifconfig.me. Webmin huhifadhi hili kwenye mstari wa allow= wa /etc/webmin/miniserv.conf. Jihadharini na IP ya nyumbani inayobadilika (dynamic): ikibadilika utafungiwa nje na itabidi urekebishe mstari wa allow= kutoka kwenye console ya seva, kwa hivyo anwani isiyobadilika (static) au mbinu ya SSH tunnel ni ya kutegemewa zaidi kivitendo.

Kwa nini kuingia kwangu kunafeli hata nikiwa na nenosiri sahihi?

Webmin inathibitisha kupitia PAM dhidi ya nenosiri lako la Unix, na picha za seva za wingu (cloud images) kwa kawaida hutumia funguo (keys) pekee bila nenosiri kuwekwa kwenye akaunti ya msingi, kwa hivyo hakuna kitu cha PAM kulinganisha na kuingia kunakataliwa. Tekeleza sudo passwd youruser kwenye seva ili kuweka nenosiri, kisha ingia. Mstari wa Non-existent login as ... katika /var/webmin/miniserv.log badala yake unamaanisha kuwa jina la mtumiaji lenyewe si akaunti halisi ya Unix.

Webmin inafaa nini ikilinganishwa na SSH ya kawaida?

Webmin ni tabaka la urahisi na ugunduzi. Inafaa sana kwa kuvinjari faili za logi, kusimamia watumiaji na cron, kuhariri sheria za firewall, na kuona hali ya diski na huduma bila kukariri kila amri, jambo ambalo ni muhimu kwa wasimamizi wa mara kwa mara au timu zenye ujuzi mchanganyiko. SSH ya kawaida ni ya haraka, inaweza kuandikiwa script, na inafichua eneo dogo zaidi la kushambuliwa kwa kazi za kawaida. Wasimamizi wengi hutumia zote mbili: SSH kwa matumizi ya kila siku, na Webmin iliyofungwa kwenye localhost nyuma ya tunnel kwa kazi za mara kwa mara za kubofya. Ikiwa swali lako la msingi ni paneli ipi kati ya paneli dhidi ya shell, inafaa kupima Cockpit dhidi ya Webmin kwanza, kwa kuwa hizo mbili hutofautiana katika kiasi cha mfumo ambacho kila moja inaweza kubadilisha na jinsi kila moja inavyokuthibitisha.