LuckyStack

Быстрый старт

От пустого сервера до работающей панели. Дольше всего идёт сборка nginx, остальное ставится из пакетов.

1. Подготовьте имя сервера

   Выберите полное имя, например server.example.com, и создайте у регистратора A-запись на IP сервера. По этому имени будет открываться панель, на него выпускается сертификат и с него уходит почта. Проверить, что запись уже работает:

   # на своём компьютере
   dig +short server.example.com
   203.0.113.10

2. Зайдите на сервер по SSH ключом

   Мастер предложит закрыть вход по паролю, поэтому ключ лучше положить заранее. Если ключа нет, создайте его командой ssh-keygen -t ed25519 и передайте на сервер через ssh-copy-id root@203.0.113.10.

3. Запустите установку

   curl -L https://github.com/Leden4ik/luckystack/archive/refs/heads/main.tar.gz | tar xz
   cd luckystack-main
   bash server-setup.sh

   Копировать

   Команды скачивают код с GitHub и запускают мастер. Перед этим его можно спокойно прочитать: это обычные bash-скрипты. При первом запуске установщик копирует себя в /opt/luckystack, ставит команду luckyctl и дальше работает уже оттуда, скачанную папку можно удалить.

4. Ответьте на вопросы мастера

   Почти везде можно просто нажимать Enter, значение по умолчанию подходит большинству. Подробно про каждый вопрос в разделе Мастер установки.

5. Откройте панель

   В конце мастер покажет адрес панели и пароль администратора, а копию доступов положит в /root/server-access.txt. Панель открывается по имени сервера, порт выбирается в мастере, по умолчанию 8080:

   https://server.example.com:8080

   Если вы меняли SSH или включили firewall, мастер попросит подтвердить, что доступ к серверу не потерян: откройте второе окно, зайдите по SSH и выполните touch /run/luckystack-net-ok. Без подтверждения через 5 минут SSH и firewall сами вернутся к прежним настройкам.

   Первым делом включите двухфакторный вход для admin и проверьте раздел Дополнения: там видно, что сервер в порядке.

6. Проверьте сервер

   luckyctl check

   Должно получиться без ошибок. Предупреждения нормальны для свежего сервера, например про отсутствие копии бэкапа на другом сервере. Как выглядит вывод, показано в разделе luckyctl check.

Требования

Нужен чистый сервер: свежая установка ОС, без панелей и без сайтов. На занятый сервер мастер не пойдёт, для него есть отдельный режим подключения.

Мастер установки

Мастер задаёт вопросы по порядку, записывает ответы в файл настроек и только потом начинает ставить. До последнего подтверждения на сервере ничего не меняется.

Как выглядит вопрос

Каждый вопрос это рамка с вариантами. В квадратных скобках стоит вариант по умолчанию, он выбирается по Enter.

┌─ Какую версию nginx собирать ────────────────────────────────────────────────┐
│ 1) stable — проверенная стабильная (рекомендуется)                           │
│ 2) mainline — новее, свежие возможности (чуть менее обкатана)                │
└──────────────────────────────────────────────────────────────────────────────┘
Ваш выбор [1]: 1

┌─ Какой OpenSSL собирать с nginx ─────────────────────────────────────────────┐
│ 1) 3.5 LTS — поддержка до апреля 2030 (рекомендуется)                        │
│ 2) 4.1 — самая новая, поддержка до ноября 2027                               │
│ 3) 4.0 — поддержка до мая 2027                                               │
└──────────────────────────────────────────────────────────────────────────────┘
Ваш выбор [1]: ▍

Настоящий вывод мастера на тестовом сервере.

Какие вопросы будут

Вопросы идут группами. Если какая-то часть не выбрана, вопросы про неё не задаются.

Итог перед установкой

После вопросов мастер сохраняет ответы в /etc/luckystack/setup.conf, показывает сводку и спрашивает, начинать ли установку. Если ответить нет, на сервере ничего не меняется: запустите luckyctl install ещё раз и поправьте нужный ответ.

Этапы

Установка идёт по этапам. Каждый завершённый этап отмечается, поэтому при сбое продолжить можно с того места, где остановились.

Если этап упал

Мастер пишет, на каком этапе остановился, и где смотреть журнал. Исправьте причину и продолжите:

luckyctl install --resume          # продолжить с первого незавершённого этапа
luckyctl install --only php        # выполнить ровно один этап
luckyctl install --from security   # начать с этапа и идти до конца

Если сборка nginx раз за разом падает, помогает чистая сборка без остатков прошлых попыток: luckyctl install --clean-build --only webserver.

Установка без вопросов

Если серверов несколько, ответы удобно записать в файл один раз. Сначала поставьте код без мастера командой bash server-setup.sh --install-code, затем положите setup.conf в /etc/luckystack/ (права 600) и запустите установку с ключом --unattended. Всё, чего нет в файле, берётся по умолчанию, пароли генерируются и сохраняются туда же.

# /etc/luckystack/setup.conf
SERVER_FQDN='server.example.com'
TIMEZONE='Europe/Moscow'
WEBSERVER='nginx'
NGINX_CHANNEL='stable'
OPENSSL_BRANCH='3.5'
PHP_VERSIONS='8.2 8.4 8.5'
PHP_DEFAULT='8.4'
FIREWALL='crowdsec'
CROWDSEC_WITH_UFW='y'
SSH_PORT='2222'
SSH_ALLOW_IPS='198.51.100.7 198.51.100.8'
ISPCONFIG_ADMIN_IPS='198.51.100.7 198.51.100.8'
ISPCONFIG_PANEL_PORT='3333'
BACKUP_TIME='03:30'
BACKUP_RETENTION_DAYS='14'
NOTIFY_EMAIL='admin@example.org'

luckyctl install --unattended

Полный список настроек в разделе Настройки setup.conf.

Команда luckyctl

Всё, что делается с сервером из консоли, делается одной командой. Её можно вызывать из любого каталога, справка по любой подкоманде открывается через luckyctl help <команда>.

Без команды luckyctl открывает главное меню с теми же действиями.

luckyctl status

Показывает, что стоит на сервере. Удобно перед обновлением и когда нужно быстро ответить на вопрос, какая версия PHP по умолчанию.

════════════════════════════════════════════════════════════════════════════════
             Состояние системы — установленные компоненты и версии
════════════════════════════════════════════════════════════════════════════════
┌─ ОС ─────────────────────────────────────────────────────────────────────────┐
│   Debian GNU/Linux 12 (bookworm)                                             │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ Веб-сервер ─────────────────────────────────────────────────────────────────┐
│   nginx: 1.30.6 · active                                                     │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ PHP ────────────────────────────────────────────────────────────────────────┐
│   php7.4: PHP 7.4.33 · active                                                │
│   php8.2: PHP 8.2.35 · active                                                │
│   php8.4: PHP 8.4.27 · active                                                │
│   php8.5: PHP 8.5.12 · active                                                │
│   default php → PHP 8.4.27                                                   │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ Базы данных ────────────────────────────────────────────────────────────────┐
│   MariaDB: 12.3.3-MariaDB · active                                           │
│   Redis: 7.0.15 · active                                                     │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ Почта / антиспам ───────────────────────────────────────────────────────────┐
│   Postfix: 3.7.11 · active                                                   │
│   Dovecot: 2.3.19.1 · active                                                 │
│   Rspamd: 4.2.3 · active                                                     │
│   ClamAV: 1.4.6 · active                                                     │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ Безопасность ───────────────────────────────────────────────────────────────┐
│   CrowdSec: v1.8.2 · active                                                  │
│   UFW: active                                                                │
│   fail2ban: 2 · active                                                       │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ Обновления ─────────────────────────────────────────────────────────────────┐
│   Пакетов apt к обновлению: 0                                                │
│   ISPConfig: 3.3dev (nightly) → есть сборка от 2026-11-07                    │
└──────────────────────────────────────────────────────────────────────────────┘

Сокращено: убраны блоки со службами и админками БД.

luckyctl check

Проверяет сервер по пунктам и в конце пишет итог. ✓ значит всё хорошо, ! стоит посмотреть, ✗ что-то сломано. Та же проверка раз в шесть часов идёт в фоне, и когда появляется новая проблема, приходит уведомление.

════════════════════════════════════════════════════════════════════════════════
                           Проверка здоровья сервера
════════════════════════════════════════════════════════════════════════════════
┌─ Сервисы ────────────────────────────────────────────────────────────────────┐
│   ✓ nginx (nginx): active                                                    │
│   ✓ MariaDB (mariadb): active                                                │
│   ✓ PHP-FPM 8.4 (php8.4-fpm): active                                         │
│   ✓ Postfix (postfix): active                                                │
│   ✓ CrowdSec (crowdsec): active                                              │
│   ✓ конфигурация nginx валидна (nginx -t)                                    │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ Сетевые порты (LISTEN) ─────────────────────────────────────────────────────┐
│   ✓ порт 443 (web) слушается                                                 │
│   ✓ HTTP/3: nginx слушает UDP/443 (QUIC)                                     │
│   ✓ HTTP/3: UDP/443 открыт в ufw                                             │
│   ✓ чувствительные сервисы (БД/кэш) не торчат наружу (только localhost)     │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ TLS-сертификаты ────────────────────────────────────────────────────────────┐
│   ✓ панель ISPConfig: валиден (87 дн.) (Let's Encrypt)                      │
│   ✓ LE server.example.com: валиден (87 дн.)                                  │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ Безопасность и бэкапы ──────────────────────────────────────────────────────┐
│   ✓ ufw включён и переживёт перезагрузку                                     │
│   ! SSH: вход по паролю разрешён (надёжнее только по ключу)                  │
│   ✓ серверный бэкап (БД и конфиги) по расписанию                             │
│   ! бэкапы только на этом диске, копии вне сервера нет                       │
│   ! почта (/var/vmail) в бэкап не входит                                     │
└──────────────────────────────────────────────────────────────────────────────┘
┌─ Итог ───────────────────────────────────────────────────────────────────────┐
│   OK: 41   ВНИМАНИЕ: 5   ОШИБКА: 0                                           │
└──────────────────────────────────────────────────────────────────────────────┘
[!] Есть предупреждения (5) — посмотрите пункты с !.

Сокращено: из 46 пунктов показана часть. Код выхода 0, если ошибок нет, поэтому команду можно вызывать из своего мониторинга.

Панель Дополнения

Всё, что LuckyStack добавляет в ISPConfig, собрано в одной группе меню. Родные пункты ISPConfig остаются на своих местах, так что всегда видно, где своё, а где из коробки. Группа хранится в отдельном каталоге меню, поэтому обновление ISPConfig её не стирает.

Путь: System›Дополнения

Обслуживание сервера

Главная страница группы. Четыре вкладки, переключайте их прямо на примере ниже.

Пример экранаМакет страницы, собранный по данным тестового сервера. Настоящая страница выглядит в стиле ISPConfig, состав и тексты те же.

Как панель меняет сервер

Сама панель ISPConfig работает не от root и ничего на сервере не меняет. Когда вы нажимаете кнопку, панель записывает задание в таблицу. В течение минуты его забирает служебный скрипт, который работает от root, и выполняет только то, что есть в его коротком списке разрешённых действий.

• Перед запуском установщика скрипт проверяет, что его файлы принадлежат root и никто другой не может их менять. Иначе задание отклоняется.
• Если установщик уже работает, второе задание не стартует.
• Перед обновлением nginx или ISPConfig делается бэкап. Если он не удался, обновление не начинается.
• Каждое задание пишет свой журнал, его видно в панели, и итог приходит в уведомлениях.

Заморозка vhost

ISPConfig хранит конфиг сайта у себя и перезаписывает файл в /etc/nginx/sites-available при каждом сохранении сайта. Если вы правили конфиг руками, правки пропадают. Галочка Не обновлять vhost в форме сайта это исправляет: после перегенерации на место кладётся ваш вариант.

Путь: Sites›Website›Options›Не обновлять vhost

Если у замороженного сайта поменять версию PHP, LuckyStack сам поправит адрес PHP-FPM в вашем конфиге, даже если сменился способ подключения с сокета на порт. Если адрес в конфиге вписан вручную и не похож на стандартный, в панели появится предупреждение, а конфиг останется как есть.

Обновления

Обновление из панели и командой luckyctl update идёт по одному пути. По умолчанию обновляются пакеты и наши настройки, ядро не трогается.

Что обновляется всегда

• Пакеты системы через apt.
• Автообновления безопасности, sysctl, fail2ban, права на конфиги.
• Шаблоны ISPConfig: HTTP/2, TLS 1.3 и HTTP/3 для панели и сайтов.
• Ограничение доступа по IP: панель только по имени сервера, phpMyAdmin только со своих адресов.
• Все панели группы Дополнения и регистрация версий PHP в ISPConfig.

Каждый пункт можно запускать сколько угодно раз. Если всё уже на месте, он так и напишет и ничего не тронет.

Ядро только по запросу

Пересборка nginx и обновление ISPConfig делаются только если вы их отметили в панели или подтвердили в консоли. Пароль root MariaDB и основные конфиги служб при обновлении не трогаются.

luckyctl update                     # спросит про каждую часть ядра
luckyctl update --dry-run           # показать план, ничего не меняя
luckyctl update nginx ispconfig     # обновить ядро без вопросов

Пример журнала обновления

                           Режим обновления / патчей
[i] Ядро — nginx (пересборка) и ISPConfig (офиц. апдейтер) — обновляется ТОЛЬКО по явному запросу.
[i] Пароль root MariaDB и базовые конфиги служб НЕ трогаются.
[→] Обновление: Модернизация vhost панели/apps (http2/http3)
[i] vhost панели/apps уже современны (http2 on; + TLSv1.3) — изменений нет.
[i] UFW: UDP для QUIC/HTTP3 — панель 3333 только с 198.51.100.7 198.51.100.8, apps 3331 всем.
[→] Обновление: Регистрация версий PHP в ISPConfig
[✓] Версии PHP в ISPConfig: добавлено 0, синхронизировано 4.
[→] Обновление: Расширение firewall ISPConfig (IP-ограничения портов)
[i] В панель Firewall засеяно правил-источников: 5 (SSH/панель/MySQL). Существующие не тронуты.
[✓] Firewall ISPConfig расширен: модуль «Firewall IP-rules» (отдельные поля) + плагин (before.rules).
[→] Обновление: Заморозка vhost (галочка «Не обновлять vhost»)
[✓] Заморозка vhost развёрнута: галочка у сайта + плагин (restore frozen-vhost после регенерации).
[→] Обновление: Панель CrowdSec (активные баны + снятие)
[✓] Панель CrowdSec развёрнута (меню «Дополнения» → CrowdSec; кэш решений + очередь снятия + cron).
[→] Обновление: Composer (глобально)
[i] Composer уже установлен: Composer version 2.11.1 2026-10-30 14:52:10
...

Настоящий журнал задания из панели, сокращён. [→] начало шага, [✓] сделано, [i] пояснение, [!] предупреждение, [✗] ошибка.

Откат

При каждом обновлении nginx и Roundcube прошлая версия остаётся рядом. Вернуть её можно кнопкой на вкладке Обновление или командой. Повторный откат возвращает новую версию обратно.

nginx

Прошлая сборка лежит как /usr/sbin/nginx.backup. Перед подменой она проверяет ваш текущий конфиг, и если не принимает его, откат отменяется, а nginx остаётся как был.

[→] Откат nginx: nginx/1.30.6 OpenSSL 3.5.9 → nginx/1.30.6 OpenSSL 4.1.0
[✓] nginx: откат выполнен, работает nginx/1.30.6 OpenSSL 4.1.0. Прошлая сборка теперь nginx/1.30.6 OpenSSL 3.5.9

Roundcube

Перед обновлением вебмейла сохраняются прошлый каталог, схема и дамп его базы. Если новая версия меняла схему, при откате база возвращается из дампа. Если после отката страница входа не открывается, всё возвращается на новую версию само.

[→] Откат Roundcube 1.7.5 → 1.6.20
[✓] Roundcube: откат на 1.6.20 выполнен. Следующий --update снова предложит новую версию этой ветки.

ISPConfig и базы

У ISPConfig нет второй копии рядом, поэтому перед его обновлением делается полный бэкап баз и конфигов. Вернуться можно через восстановление из снимка, сделанного перед обновлением.

Безопасность

То, что обычно включают после первого взлома, здесь включено сразу. Ниже по частям, что именно и почему.

Сеть и firewall

• ufw закрывает все порты, кроме тех, что нужны выбранным службам. SSH и панель можно открыть только для своих IP.
• CrowdSec читает журналы nginx, SSH и почты, банит перебор паролей и сканеры и получает общий список атакующих.
• fail2ban дополнительно следит за SSH, почтой, FTP, панелью ISPConfig, Roundcube и входом в MariaDB.
• Адреса из списка Доверенные IP никогда не банятся, чтобы случайно не закрыть себе доступ.
• Чтобы не потерять сервер при правке SSH или firewall, рискованные изменения откатываются сами, если за несколько минут вы не подтвердили, что доступ остался.

Доступ

• Панель открывается только по имени сервера. Запрос по IP получает пустой ответ, так сканеры не видят, что здесь ISPConfig.
• На 443 по IP или чужому имени соединение обрывается ещё до сертификата, так по нему не узнать, какие сайты на сервере. На 80 по IP можно выбрать: стартовая страница сервера, переадресация на его имя или пустой ответ.
• SSH: вход только по ключу (по желанию), без проброса портов и агента, свой порт.
• Почта и FTP принимают пароль только по TLS.

PHP и сайты

• Версия PHP не видна в заголовках, куки сессий недоступны из JavaScript.
• OPcache у каждого сайта свой, один сайт не может прочитать код другого из кэша.
• Shell-пользователи ISPConfig заперты в jail, проверка в панели напоминает, если это не так.
• Файлы сайтов с правом записи для всех находятся при проверке, исправляются кнопкой.
• Раз в сутки сайты проверяются на вредоносный код, при находке приходит письмо.

Ядро и службы

• sysctl: защита от подмены маршрутов, SYN-флуда, утечек адресов ядра.
• Короткие таймауты nginx против медленных атак: заголовок 15 секунд, тело и отправка 60.
• По желанию ограничения systemd для nginx и MariaDB: только чтение системы, отдельный /tmp, без лишних прав ядра. Оценка systemd-analyze security с ними 4.9 у nginx и 5.7 у MariaDB, чем меньше, тем лучше. Если служба с ограничениями не стартует, они снимаются сами.
• Шифрование: TLS 1.2 и 1.3, обмен ключами X25519MLKEM768, устойчивый к квантовым компьютерам, при поддержке браузером.

Бэкапы

Каждую ночь делается снимок: дамп всех баз, /etc и конфиги ISPConfig. По желанию в снимок входят сайты и почта. Старые снимки удаляются по сроку, но последние три остаются всегда.

Где и как часто

Команды

luckyctl backup                     # сделать снимок сейчас
luckyctl backup list                # список снимков
luckyctl restore                    # выбрать снимок и что восстановить

Сам бэкап делает скрипт /usr/local/sbin/server-backup.sh. Он работает и без LuckyStack, это удобно при восстановлении на новом сервере.

Восстановление

По умолчанию восстанавливаются только базы из последнего снимка. Остальное выбирается явно:

server-backup.sh --restore 20261107-033000 --db --etc
server-backup.sh --restore --all --yes

Восстановление перезаписывает текущие данные. Перед ним стоит сделать свежий снимок, на случай если выбрали не тот. Файлы сайтов восстанавливаются вместе с защитой, которую ISPConfig ставит на их каталоги, ничего снимать вручную не нужно.

Уведомления и бот

Сервер сам сообщает о том, что требует внимания. Каналы: почта и Telegram, можно оба. Настраивается в панели: System›Дополнения›Уведомления.

О чём приходят сообщения

О новой проблеме сообщение приходит один раз, а не при каждой проверке. В тихие часы, например с 23:00 до 08:00, сообщения в Telegram приходят без звука, кроме критичных: сбой бэкапа, находка антивируса.

Бот в Telegram

Если включить бота, ему можно писать команды. Отвечает он только чатам из списка в настройках. Действия, которые что-то меняют, нужно подтвердить кнопкой под сообщением, и каждое попадает в журнал панели.

ПримерТексты сообщений как в коде бота, цифры условные.

Настройки setup.conf

Все ответы мастера хранятся в одном файле. Его можно править руками, изменения подхватываются при следующем обновлении. Ниже самые нужные ключи, полный список с пояснениями будет в репозитории.

Сервер

Веб и PHP

Базы и почта

Доступ и защита

Бэкап и уведомления

Файлы и журналы

Код, настройки, состояние и журналы лежат раздельно. Поэтому обновление LuckyStack заменяет код и не трогает ваши настройки.

Где всё лежит на конкретном сервере, покажет luckyctl paths.

Журналы

Решение проблем

grep -n '\[✗\]' /var/log/luckystack/setup.log | tail -5

chown -R root:root /opt/luckystack
chmod -R go-w /opt/luckystack

luckyctl diagnostics

Вопросы

Что дальше

Первый выпуск вышел: команда luckyctl, раскладка по /opt, /etc и /var, проверка на Debian 12 и 13, Ubuntu 22.04 и 24.04. Следом:

• Полноценный Apache: те же защита, тюнинг и дополнения, что у nginx.
• Установка одной командой через get.sh и подписанные выпуски, чтобы установка и self-update проверяли, что скачано именно то.
• Копия бэкапов на второй сервер, которую нельзя удалить с основного.
• Английский язык в консоли. Панели уже на двух языках.