Cổng khách hàng: Mail, DNS và S3

Từ bản 4.1.0, máy chủ có thể cung cấp cho khách hàng ba ứng dụng web nhỏ bên cạnh panel hosting (2083) và panel quản trị (2087):

Mỗi cổng là một ứng dụng Next.js riêng, chạy dưới người dùng không đặc quyền hitechcloud-portal trên loopback, phía sau front end của máy chủ. Front end chỉ phục vụ nó qua TLS, trên cổng mạng công khai của nó và trên mọi tên miền bạn thêm. Các cổng không giữ dữ liệu riêng: mọi thao tác đọc và ghi đi qua portal API (127.0.0.1:2094, chỉ loopback) tới panel, nên thay đổi trong một cổng chính là những gì 2083, 2087 và hitechcloudcli hiển thị, và ngược lại.

Các ứng dụng có tiếng Anh và tiếng Việt, không tải gì từ CDN và không dùng phông chữ từ xa.

Bố cục của một cổng​

Ba cổng dùng chung một bố cục, có giao diện sáng và tối:

• Thanh bên ở bên trái. Tên cổng ở trên cùng, rồi các mục của cổng, mỗi mục có một biểu tượng. Mục bạn đang ở được đánh dấu.
  • Mail: Tổng quan, Tên miền, Hộp thư, Bí danh và chuyển tiếp, Bộ lọc, Thiết bị, Khôi phục, Cài đặt.
  • DNS: Vùng DNS, Mẫu, Cài đặt.
  • S3: Kết nối, Dung lượng, Cài đặt.
• Các phần của mục bạn đã mở, ngay trong thanh bên. Trong cổng DNS, khi ở trong một vùng, thanh bên còn liệt kê các phần của vùng: Bản ghi, Nhập và xuất, DNSSEC, Lan truyền và Máy chủ tên. Máy chủ tên kiểm tra cơ quan đăng ký (vùng cha) đang ủy quyền tên miền cho những máy chủ tên nào và so sánh với các bản ghi NS của vùng trên máy chủ này: khớp, khớp một phần, ủy quyền cho nơi khác hoặc chưa được ủy quyền, kèm việc cần đổi tại nhà đăng ký. Trong cổng S3, khi ở trong một kết nối, thanh bên liệt kê Bucket. Phần chọn ngay trên trang cũng được đánh dấu trong thanh bên.
• Tài khoản của bạn ở cuối thanh bên: tên bạn đã đăng nhập, ngôn ngữ (tiếng Anh hoặc tiếng Việt), giao diện (theo thiết bị, sáng hoặc tối) và Đăng xuất. Ngôn ngữ và giao diện được nhớ trong trình duyệt, và cũng có ở trang Cài đặt.
• Thu gọn. Trên màn hình rộng, nút thu gọn của thanh bên đưa nó về dạng chỉ còn biểu tượng (tên vẫn dành cho trình đọc màn hình). Lựa chọn được nhớ trong trình duyệt.
• Đường dẫn phía trên tiêu đề trang cho biết bạn đang ở đâu và dẫn ngược lên.
• Trên điện thoại, thanh bên trở thành ngăn kéo sau một nút menu. Ngăn kéo giữ tiêu điểm bàn phím, đóng bằng Escape và khi bấm một liên kết.
• Bàn phím và trình đọc màn hình. Điểm dừng Tab đầu tiên là liên kết "Bỏ qua và đến nội dung chính". Các trang được kiểm tra theo WCAG 2.1 mức AA (axe-core) ở cả hai ngôn ngữ và cả hai giao diện. Bảng rộng hơn màn hình cuộn ngang trong vùng có nhãn của chính nó, không làm cả trang cuộn ngang.

Trang đăng nhập không có thanh bên: chỉ là phần đầu trang gọn với tên cổng, ngôn ngữ và giao diện.

Ai đăng nhập được​

Khách hàng đăng nhập bằng đúng tên người dùng và mật khẩu của panel hosting, kèm mã xác thực hai bước nếu tài khoản có bật. Khoá tạm sau nhiều lần đăng nhập sai dùng chung với 2083, tính theo từng tài khoản.

Từ bản 4.1.2, mọi tài khoản hợp lệ đều vào được, trừ khi quản trị viên đã tắt một cổng:

• Cổng Mail: mọi tài khoản chỉ dùng email (tài khoản dịch vụ mail, bị 2083 từ chối) và mọi tài khoản hosting. Gói không còn cần tính năng mail_portal. mail_portal_hosting_accounts = off trong hitechcloud.config không cho tài khoản hosting vào cổng Mail.
• Cổng DNS và S3: mọi tài khoản hosting. Tài khoản chỉ dùng email bị từ chối với thông báo "Đây là tài khoản dịch vụ mail: chỉ đăng nhập được vào cổng Mail."
• Cổng đã tắt (mail_portal, dns_portal hoặc s3_portal đặt là off, no, false hoặc 0 trong hitechcloud.config) từ chối mọi người với thông báo "Cổng này chưa được bật cho tài khoản của bạn." Khoá không có hoặc để trống được coi là bật.

Quy tắc được kiểm tra lại ở mỗi yêu cầu, nên việc tắt một cổng có hiệu lực ngay, không phải đợi phiên hết hạn.

Khoá truy cập (passkey)​

Từ bản 4.2, khách hàng có thể đăng nhập cổng Mail bằng khoá truy cập (vân tay, khuôn mặt hoặc mã PIN của thiết bị) thay cho mật khẩu. Tài khoản dịch vụ mail, vốn không mở được 2083, cũng dùng được khoá truy cập theo cách này.

• Thêm khoá: Cài đặt > Khoá truy cập > Thêm khoá truy cập. Cổng hỏi lại mật khẩu của tài khoản, sau đó trình duyệt yêu cầu tạo khoá. Mỗi tài khoản có tối đa 20 khoá; mỗi khoá có thể xoá ngay trong danh sách đó.
• Đăng nhập: Đăng nhập bằng khoá truy cập ở trang đăng nhập. Không cần gõ tên người dùng: khoá tự biết tài khoản của nó. Sau đó không hỏi mã ứng dụng xác thực, giống 2083: thiết bị đã xác minh người dùng.
• Dùng được ở đâu: khoá truy cập gắn với một địa chỉ. Khoá dùng được trên tên máy riêng của cổng trong hosts.conf (cổng 443), hoặc trên tên máy chủ với cổng của portal (ví dụ https://server.example.com:2091). Khoá thêm trên tên máy chủ cũng đăng nhập được 2083 trên cùng tên máy đó và ngược lại, vì cả hai dùng chung một kho. Trên địa chỉ IP hay tên khác, cổng báo khoá truy cập không dùng được ở đó.
• An toàn: thiết bị phải xác minh người dùng (PIN hoặc sinh trắc học), khoá có bộ đếm chữ ký giảm đi (dấu hiệu khoá bị sao chép) bị từ chối, và việc đăng nhập tính vào cùng giới hạn và khoá tạm như mật khẩu. Mỗi lần thêm, xoá hoặc dùng khoá đều được ghi vào nhật ký hoạt động của tài khoản, và việc thêm hay xoá khoá gửi thông báo "thay đổi xác thực hai bước" nếu tài khoản bật thông báo đó.

Hiện chưa có trang quản trị để xem khoá truy cập của khách hàng.

Đăng nhập một lần (SSO)​

Từ bản 4.1.2, khách hàng, quản trị viên hoặc đại lý có thể mở một cổng ở trạng thái đã đăng nhập, không phải nhập lại mật khẩu:

• Từ panel hosting (2083): trang tổng quan có thẻ Cổng khách hàng với một nút cho mỗi cổng tài khoản được mở. Nút này mở cổng trong một tab mới, ở trang /sso của cổng kèm một vé dùng một lần.
• Từ HiTechAdmin (2087), cho quản trị viên và đại lý: trang của một tài khoản có các nút cổng Mail, DNS và S3. Chúng mở cổng dưới tài khoản đó mà không mở phiên 2083; lần đăng nhập được ghi vào nhật ký của tài khoản là do nhân viên thực hiện. Tài khoản dịch vụ mail chỉ có nút cổng Mail.
• Tại trang đăng nhập của cổng: Đăng nhập bằng bảng điều khiển hosting đưa khách hàng tới 2083 (tới trang đăng nhập của 2083 trước, khi chưa có phiên). 2083 hỏi "Mở cổng và đăng nhập bằng tài khoản này?"; nút Mở cổng của nó rồi đưa khách hàng trở lại cổng, đúng địa chỉ họ đến từ đó, đã đăng nhập. 2083 chỉ quay về địa chỉ của chính các cổng trên máy chủ này.

Các vé phía sau (hct1_...) chỉ dùng được một lần, sống 30 giây theo mặc định (tối đa 60) và gắn với tài khoản, cổng và máy chủ mà chúng được cấp. Vé đã hết hạn hoặc đã dùng sẽ hiện "Không thể đăng nhập cho bạn" kèm liên kết tới trang đăng nhập. Ứng dụng có thể cấp cùng loại vé qua API của 2083 (POST /api/auth/ticket với "app": "portal-mail", "portal-dns" hoặc "portal-s3"; cần tính năng api): xem App sign-in tickets.

Bật và tắt các cổng​

Từ bản 4.1.2 ba cổng bật theo mặc định. Lần cài mới dựng sẵn Mail, DNS và S3 và mở 2091-2093, và mỗi lần cập nhật đều cài và khởi động mọi cổng chưa bị tắt, kể cả trên máy chủ chưa từng cấu hình chúng. Để cài máy chủ không có các cổng, hãy chạy trình cài đặt với HITECHCLOUD_NO_PORTALS=1: nó ghi off rõ ràng cho từng cổng, và không bản cập nhật nào ghi đè.

Mỗi cổng bật, tắt riêng. Trong HiTechAdmin: Server > Portals. Từ terminal:

hitechcloudcli portals status             # bật/tắt, phiên bản, cổng, tình trạng, chứng chỉ
hitechcloudcli portals disable s3         # dừng, gỡ vhost, đóng cổng mạng
hitechcloudcli portals enable s3          # bật lại (cài nếu chưa có)
hitechcloudcli portals install mail       # tải, kiểm tra và bật một cổng

install tải ứng dụng từ mirror và kiểm tra nó với SHA256SUMS đã ký của bản phát hành trước khi giải nén. disable giữ lại tệp và tên miền, nên enable đưa cổng trở lại như cũ.

Tường lửa mở cổng mạng công khai của một cổng khi cổng đó bật (2091-2093 nếu không đổi) và đóng lại khi nó tắt.

Mỗi lần hitechcloudcli update đều chạy portals converge, chuyển mọi cổng chưa bị tắt sang bản phát hành đang cài và đặt lại phiên bản trước nếu phiên bản mới không trả lời kiểm tra sức khoẻ.

Cổng mạng​

hitechcloudcli portals port mail 2491     # chuyển cổng Mail sang 2491

Cổng mạng công khai phải từ 1024 trở lên và không được trùng với cổng panel hoặc các cổng dùng nội bộ: 2083, 2087, 2090, 2094, 2096, 3091, 3092, 3093. Cổng đang có dịch vụ khác lắng nghe sẽ bị từ chối.

Nếu có tường lửa phía trước máy chủ (ví dụ security group trên cloud), hãy mở cả 2091, 2092, 2093 ở đó, hoặc các cổng bạn đã chọn.

Tên miền​

Mỗi cổng cũng có thể trả lời trên tên miền riêng ở cổng 443, ví dụ mail.example.com cho cổng Mail:

hitechcloudcli portals host add mail mail.example.com
hitechcloudcli portals host add dns dns.example.com --owner reseller1
hitechcloudcli portals host list
hitechcloudcli portals host remove mail mail.example.com
hitechcloudcli portals host issue mail.example.com   # xin lại chứng chỉ

DNS của tên miền phải trỏ về máy chủ này. Tên miền được phục vụ ngay dưới chứng chỉ của panel, còn chứng chỉ riêng của nó được xin ở chế độ nền; host list cho biết trạng thái chứng chỉ. --owner ghi tên miền là của một đại lý hoặc một tài khoản. --no-issue thêm tên miền mà không xin chứng chỉ.

Không có phương án dự phòng HTTP thường: khi hoàn toàn không có chứng chỉ, tên miền đó không được phục vụ, và portals status cho biết lý do.

Khi một cổng không trả lời​

hitechcloudcli portals status
hitechcloudcli portals logs mail -n 100
hitechcloudcli portals repair             # tạo lại cấu hình và khởi động lại

Các unit là hitechcloud-portal-mail, hitechcloud-portal-dns, hitechcloud-portal-s3 và hitechcloud-portalapi dùng chung. Nhật ký nằm ở /var/log/hitechcloud/portals/ và trong journal của từng unit. Cổng đưa bạn về trang đăng nhập dù mật khẩu đúng có cùng nguyên nhân với 2083: xem Xử lý sự cố.

Hạn chế đã biết (4.1.x)​

• Cổng S3: các phiên bản đối tượng xem, tải về và khôi phục được, nhưng chưa xoá được. (Từ 4.3, đối tượng lớn hơn 5 GiB được sao chép và di chuyển bằng sao chép nhiều phần ngay trên máy chủ của nhà cung cấp, và thư mục với số lượng đối tượng bất kỳ được xoá theo từng lô 1000, có tiến độ và nút Dừng.)
• Bước xác thực hai bước sau mật khẩu chỉ hỏi mã ứng dụng xác thực; thay vào đó, khoá truy cập tự đăng nhập được (xem Khoá truy cập). Tài khoản có yếu tố thứ hai là mã gửi qua email chưa đăng nhập được vào cổng bằng mật khẩu: tài khoản đó được báo hãy bật ứng dụng xác thực trong panel hosting.
• Khoá truy cập chỉ quản lý được trong cổng Mail.

Xem thêm: hitechcloudcli portals.