BrainyCP

Виявлені проблеми під час тестування нової версії BrainyCP
Ubuntu 24.04 / Текущая версия: 1.1006.20260602

Тестую нову версію панелі на серверах. Виявив декілька проблем.

1. Неможливо отримати SSL-сертифікати Let's Encrypt для панелі та сервісів

Під час випуску SSL-сертифікатів для панелі та сервісів Certbot повертав помилку:

Invalid response from http://домен/.well-known/acme-challenge/...: 404

DNS був налаштований правильно, домени вказували на потрібний сервер.

Після перевірки виявилося, що проблема була пов'язана з тим, що 80-й порт був зайнятий сервісом Nginx. Після звільнення 80-го порту сертифікати для панелі та сервісів успішно згенерувалися.

Було б добре, щоб BrainyCP перед запуском Certbot перевіряла доступність 80-го порту або виводила більш зрозуміле повідомлення у випадку, якщо ACME-перевірка не може пройти.


2. IMAP / Dovecot SSL

Під час налаштування пошти виявив проблему з IMAP.

Dovecot використовує сертифікат:

/etc/brainy/ssl/imap.crt

У файлі знаходиться тільки сертифікат домену без повного ланцюжка (fullchain).

Через це IMAP віддає неповний SSL-ланцюжок:

Verify return code: 21

Деякі поштові клієнти (зокрема Outlook) не можуть підключитися або розривають з'єднання.

Проблема вирішується заміною imap.crt на сертифікат із повним ланцюжком imap_v2.crt(fullchain) та перезапуском Dovecot.

Було б добре, щоб BrainyCP автоматично використовувала fullchain для IMAP під час випуску та оновлення Let's Encrypt сертифікатів. Після продовження сертифіката зараз потрібно вручну виправляти файл.

Також помітив проблему з Roundcube: не завантажуються іконки в інтерфейсі. Можливо, проблема пов'язана з правами доступу або налаштуваннями PHP-FPM пулу.


3. Система резервного копіювання

Виявлені проблеми:

- Root backup створюється, але при вибірковому відновленні немає можливості вибрати окремі файли, доступне тільки відновлення бази даних або користувача БД.
- User backup не працює: процес запускається, у логах одразу показує 100% завершення, але архів фактично не створюється.
- Ручне завантаження backup створює битий архів розміром декілька KB.
- Після відновлення backup зникає користувач бази даних.
- При створенні backup у Google Drive створюються два завдання замість одного. Одне з них неробоче.
- Після відновлення одного сайту перестають працювати всі сайти цього користувача.
- Google API авторизацію потрібно повторювати приблизно раз на тиждень, оскільки інтеграція перестає працювати.


4. Jail / SSH ізоляція користувачів

Ще не перевіряв на новій версії, але проблема була у попередній. Додаю інформацію, оскільки це критична проблема безпеки.

Періодично відпадає Jail для користувачів SSH.

Користувач замість свого ізольованого середовища отримує доступ до файлової системи сервера.

Таким чином користувач, який повинен працювати тільки у своєму Jail, може переглядати папки інших користувачів та системні каталоги Ubuntu.

Після rebuild Jail проблема зникає, але через деякий час повторюється.

Можливо, варто перевірити механізм автоматичного відновлення Jail або контроль прав доступу після оновлень/перезапусків.

Перевіримо.
Дякую що написали.

Ще одна проблема з Dovecot (Outlook)
Виявив ще одну проблему в конфігурації Dovecot.
У файлі:
/etc/dovecot/conf.d/exim-dovecot-mysql_config.conf

за замовчуванням встановлено:
auth_mechanisms = plain login digest-md5 cram-md5

Через наявність застарілих механізмів автентифікації DIGEST-MD5 та CRAM-MD5 Microsoft Outlook намагається використовувати саме DIGEST-MD5, у результаті чого автентифікація завершується помилкою, незважаючи на правильний логін і пароль.

Після зміни конфігурації на:
auth_mechanisms = plain login

та видалення digest-md5 і cram-md5 авторизація в Outlook пройшла успішно, IMAP та SMTP почали працювати без проблем.

Схоже, що панель генерує конфігурацію з використанням застарілих механізмів автентифікації, які вже не потрібні та можуть викликати проблеми сумісності з сучасними поштовими клієнтами.

Microsoft Outlook не умеет работать ни с какими формами шифрованных паролей.