آموزش نصب kloxo در لینوکس

کوتاه و صریح: امروز کلوکسو (Kloxo) را روی هیچ سروری نصب نکنید. دستوری که آموزش‌های قدیمی — از جمله نسخه پیشین همین صفحه — یاد می‌دادند، اسکریپت نصب را از دامنه download.lxlabs.com می‌گرفت و آن را با کاربر root اجرا می‌کرد. شرکت LxLabs پس از درگذشت بنیان‌گذارش در سال ۲۰۰۹ از هم پاشید، آن مخزن دانلود دیگر منبع معتبری نیست و کلوکسوی نسخه ۶ و فورک Kloxo-MR از حدود سال ۲۰۱۷ هیچ نسخه یا وصله امنیتی تازه‌ای نگرفته‌اند. در ادامه توضیح می‌دهیم چرا این مسیر بسته است و در سال ۲۰۲۶ چه کنترل پنل‌هایی، رایگان و تجاری، جای آن را گرفته‌اند.

چرا دستور نصب قدیمی دیگر معتبر نیست

کلوکسو از دل پروژه‌ای به نام LxAdmin بیرون آمد که شرکت Lxlabs آن را در کنار سامانه مجازی‌سازی HyperVM توسعه می‌داد. در سال ۲۰۰۹ یک آسیب‌پذیری در HyperVM باعث نابودی حجم بزرگی از سرورهای مجازی چند سرویس‌دهنده شد و خودِ Lxlabs پس از آن ماجرا و درگذشت بنیان‌گذارش از هم پاشید. بعد گروهی با نام LxCenter نگهداری کلوکسو را به دست گرفت و نسخه ۶ را منتشر کرد، اما آن مسیر هم ادامه پیدا نکرد و فورک جامعه‌محور Kloxo-MR هم سال‌هاست انتشار تازه‌ای نداشته است.

دستورالعمل قدیمی، جدا از منبع دانلود، چند فرض دیگر هم داشت که امروز هیچ‌کدام برقرار نیست. آن آموزش سرور را روی CentOS 5 نسخه ۳۲ بیتی می‌خواست، در حالی که CentOS 5 در سال ۲۰۱۷ و CentOS 6 در سال ۲۰۲۰ به پایان چرخه پشتیبانی رسیدند؛ یعنی حتی سیستم‌عاملِ لازم برای آن دستور هم دیگر به‌روزرسانی امنیتی نمی‌گیرد. همچنین آن آموزش می‌گفت پیش از نصب، SELinux را با setenforce 0 خاموش کنید و بعد از نصب با نام کاربری و رمز پیش‌فرض admin روی پورت 7778 وارد پنل شوید. غیرفعال کردن یک لایه امنیتی سیستم‌عامل به‌عنوان پیش‌نیاز نصب، و رمز پیش‌فرضی که همه دنیا می‌شناسد، هرکدام به‌تنهایی دلیل کافی برای کنار گذاشتن آن دستورالعمل هستند.

یک نکته را هم شفاف بگوییم تا تصویر ناقص نماند: نام کلوکسو کاملا کنار نرفته است. گروهی با عنوان Kloxo Next Generation کد را ادامه داده‌اند و نسخه ۸ را برای راکی لینوکس و آلما لینوکس ۸ و ۹ و CentOS Stream 9 منتشر کرده‌اند. پس دقیق‌تر آن است که بگوییم آنچه از کار افتاده، کلوکسوی نسخه ۶ و Kloxo-MR است؛ یعنی دقیقا همان چیزی که آموزش‌های قدیمی فارسی نصبش را یاد می‌دهند. اگر باز هم به سراغ این خانواده می‌روید، پیش از تکیه بر آن تاریخ آخرین انتشار پروژه را روی سایت رسمی خودش ببینید. توضیح کامل‌تر این ماجرا را در مطلب آموزش نصب کنترل پنل رایگان کلکسو نوشته‌ایم.

ریسک واقعی اجرای اسکریپت نصب از منبع رهاشده

وقتی با wget فایلی را از یک دامنه بی‌صاحب می‌گیرید و بلافاصله با sh و دسترسی root اجرا می‌کنید، عملا کنترل کامل سرور را به هر کسی می‌سپارید که آن دامنه یا مسیر دانلود در اختیارش باشد. این ریسک مستقل از خودِ کلوکسو است و درباره هر اسکریپت نصبی صدق می‌کند که از دامنه رسمی و فعال پروژه گرفته نشده باشد.

• وصله نشدن آسیب‌پذیری‌ها: در پروژه‌ای که نگهداری نمی‌شود، باگ امنیتی کشف‌شده هرگز اصلاح نمی‌شود ولی جزئیاتش عمومی می‌شود؛ یعنی مهاجم نقشه راه دارد و شما وصله ندارید.
• اجرا با بالاترین سطح دسترسی: هر کنترل پنلی برای ساخت کاربر و پیکربندی سرویس‌ها با دسترسی root کار می‌کند. یک نقص در پنل یعنی تصرف کل سرور، نه فقط یک سایت.
• رابط مدیریتی بدون رمزنگاری: پورت پیش‌فرض ۷۷۷۸ روی HTTP ساده باز می‌شد و نام کاربری و رمز مدیر رمزنگاری‌نشده رد و بدل می‌شد.
• ناسازگاری با نرم‌افزار امروز: نسخه‌های PHP و MySQL آن دوره برای وردپرس و فریم‌ورک‌های امروزی کافی نیستند و TLS 1.3، HTTP/2 و صدور خودکار گواهی با پروتکل ACME هم در چنین پشته‌ای وجود ندارد.

کنترل پنل‌های رایگانی که در ۲۰۲۶ هنوز نگهداری می‌شوند

«رایگان» لزوما به معنای بی‌کیفیت نیست، اما یعنی بار نگهداری و رفع مشکل روی دوش خودتان است. گزینه‌های زیر برخلاف کلوکسوی نسخه ۶ هنوز به‌طور منظم نسخه و وصله منتشر می‌کنند و هرکدام برای کار متفاوتی ساخته شده‌اند:

• HestiaCP — فورک فعال VestaCP روی دبیان و اوبونتو. سبک است و برای میزبانی چند سایت شخصی روی یک سرور مجازی کوچک دقیقا همان کاری را می‌کند که زمانی از کلوکسو انتظار داشتید.
• CyberPanel — بر پایه OpenLiteSpeed با ابزارهای کش و مدیریت وردپرس. انتخاب کسانی است که کارایی وب‌سرور و سرعت بارگذاری برایشان اولویت اول است.
• aaPanel — نصب سریع و رابط ساده با فروشگاه افزونه. برای سرورهای تک‌منظوره، محیط‌های آزمایشی و کسانی که می‌خواهند در چند دقیقه یک پشته وب بالا بیاورند.
• Webmin و Virtualmin — Webmin یک رابط وب برای مدیریت خودِ سیستم‌عامل است و Virtualmin لایه میزبانی وب را رویش اضافه می‌کند. مناسب مدیرانی که می‌خواهند به همه سرویس‌ها و فایل‌های پیکربندی دسترسی مستقیم داشته باشند.
• ISPConfig — پروژه‌ای قدیمی و پایدار که مدیریت چند سرور از یک رابط واحد را هم پوشش می‌دهد؛ برای وقتی که کار از یک سرور فراتر می‌رود.

پیش از انتخاب سه چیز را بررسی کنید: تاریخ آخرین انتشار پروژه، فهرست سیستم‌عامل‌های پشتیبانی‌شده، و شرایط دقیق رایگان بودن هر نسخه. این شرایط بین پروژه‌ها فرق دارد و باید از صفحه رسمی خودشان تایید شود، نه از یک آموزش دست دوم.

وقتی پنل تجاری انتخاب منطقی‌تری است

اگر هاست می‌فروشید یا نمی‌خواهید نیمه‌شب با یک باگ پنل تنها بمانید، پنل تجاری ارزش هزینه‌اش را دارد؛ چون در برابرش پشتیبانی رسمی، چرخه انتشار منظم و مستندات به‌روز می‌گیرید.

لایسنس دایرکت ادمین در نسخه‌های سرور مجازی، سرور اختصاصی و لایف تایم عرضه می‌شود و نصب و کانفیگ اولیه آن رایگان است؛ سبک‌تر از سی پنل است و برای سرورهای کوچک و متوسط انتخاب رایجی است. لایسنس سی پنل هم در دو نسخه سرور مجازی و سرور اختصاصی ارائه می‌شود و اگر مشتریان شما از قبل به محیط WHM و سی پنل عادت دارند، مهاجرت به آن کم‌دردسرترین مسیر است. مراحل عملی نصب هرکدام را جداگانه نوشته‌ایم: کنترل پنل دایرکت ادمین و آموزش نصب سی پنل WHM/cPanel در سرور لینوکس.

اگر همین حالا سروری با کلوکسو دارید

مهاجرت را به صورت «ساخت دوباره» انجام دهید، نه ارتقای درجا. سرور مقصد را با سیستم‌عامل و پنل تازه بالا بیاورید، از دیتابیس‌ها با mysqldump خروجی بگیرید، فایل‌ها را با rsync یا tar منتقل کنید و اکانت‌های ایمیل و رکوردهای DNS را دستی بازسازی کنید؛ خروجی پشتیبان پنل قدیمی معمولا با پنل‌های امروزی سازگار نیست. سایت‌ها را پیش از تغییر DNS تست کنید، بعد TTL را کم کرده و رکوردها را جابه‌جا کنید و سرور قدیمی را تا اطمینان از پایداری سرور جدید روشن نگه دارید. اگر داده حساسی در میان است، سرویس پشتیبانی و مدیریت سرور همین مسیر را پوشش می‌دهد؛ از نصب و پیکربندی پنل تا سخت‌سازی امنیتی و آزمایش بازیابی پشتیبان.

جمع‌بندی

هدف مقاله قدیمی «نصب یک کنترل پنل رایگان» بود و آن هدف هنوز کاملا شدنی است؛ فقط ابزارش عوض شده. دستور wget از دامنه LxLabs و نصب با کاربر root و رمز پیش‌فرض admin، امروز نه کار می‌کند و نه اگر کار می‌کرد باید اجرا می‌شد. به جایش یکی از پنل‌های رایگانِ فعال را انتخاب کنید یا اگر کارتان تجاری است سراغ دایرکت ادمین و سی پنل بروید، و در هر دو حالت سه اصل ثابت را رعایت کنید: سیستم‌عامل پشتیبانی‌شده، اسکریپت نصب فقط از دامنه رسمی پروژه، و رمز پیش‌فرضی که در همان دقیقه اول عوض شده باشد.