Signalisierungsserver für Nextcloud aufsetzen: How-To

Vor kurzem wurde die Software zum Betrieb von Nextcloud Talk in größeren Nextcloudumgebungen als Open Source veröffentlicht: man braucht einen eigenen Signalisierungsserver, um mit mehreren parallel Leuten effektiv über Nextcloud Talk arbeiten zu können. Per Default wird der interne verwendet. Wie wird dieser Signalisierungsserver nun aufgesetzt?

Voraussetzungen

Ich würde sowohl einen STUN Server als auch den Signalisierungsserver auf eigenen VMs betreiben. Ich würde hier direkt die Hetzner Cloud empfehlen: preiswert, performant und sehr einfach zum Hochskalieren. Zwei kleine Maschinen reichen für den Anfang. Den STUN Server solltest du bereits auf einer anderen Maschine gesondert fertig installiert haben.

Bitte beachte, dass ich bisher auch nur einen laufenden Signalisierungsserver hinbekommen habe, aber noch nicht tiefer getestet und Security Hardening betrieben habe. Es sind die ersten Gehversuche, die ich hier zeigen möchte.

Installation der Services

Ich gehe hier von Debian 10 aus. Als erstes solltest du Docker, nginx und sonstige Grundprogramme wie git, unzip etc. installiert haben.

Den Signaling Server direkt von Github selbst kompilieren:

apt install git automake golang build-essential certbot nginx apt-transport-https ca-certificates curl gnupg-agent software-properties-common
git clone https://github.com/strukturag/nextcloud-spreed-signaling.git
cd nextcloud-spreed-signaling/
make build
cp bin/signaling /usr/bin/

Nun die Konfigurationsdatei aus dem Repo an die richtige Stelle kopieren.:

mkdir /etc/signaling/
cp server.conf.in /etc/signaling/server.conf
useradd --system --shell /usr/sbin/nologin --comment "Standalone signaling server for Nextcloud Talk." signaling
chown signaling: /etc/signaling/server.conf
chmod 600 /etc/signaling/server.conf

Anschließend den Service für den Signaling Server einrichten und vorher natürlich die Systemd Datei entsprechend eurer Pfade anpassen, wenn abweichend:

cp dist/init/systemd/signaling.service /etc/systemd/system/signaling.service
systemctl daemon-reload
systemctl enable signaling

Nun müssen wir die einzelnen Services für den Signaling Server aufsetzen. Zunächst den NATS Server, den ich der Einfachheit halber mit Docker installiert habe, da es kein Repo gibt:

curl -fsSL https://download.docker.com/linux/debian/gpg | sudo apt-key add -
add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/debian \
$(lsb_release -cs) \
stable"
apt-get update
apt-get install docker-ce docker-ce-cli containerd.io
docker run --restart=always --name='natsserver' -d -p 4222:4222 -ti nats:latest

Außerdem brauchen wir einen Janus Server:

apt install janus

Nun muss der Service konfiguriert werden: nano /etc/janus/janus.jcfg
Hier habe ich mich an diese Anleitung gehalten und folgende Werte gesetzt:  turn_rest_api_key (mittels openssl rand -base64 16 erstellen, ist derselbe String wie bei apikey in der signaling conf!), full_trickle = true und die ssl Zeilen auskommentieren.

general: {
        configs_folder = "/etc/janus"                   # Configuration files folder
        plugins_folder = "/usr/lib/x86_64-linux-gnu/janus/plugins"                      # Plugins folder
        transports_folder = "/usr/lib/x86_64-linux-gnu/janus/transports"        # Transports folder
        events_folder = "/usr/lib/x86_64-linux-gnu/janus/events"                        # Event handlers folder
        debug_level = 4                                                 # Debug/logging level, valid values are 0-7
        server_name = "Janus Speibox"# Public name of this Janus instance
}
# Certificate and key to use for DTLS (and passphrase if needed).
#certificates: {
#       cert_pem = "/etc/ssl/certs/ssl-cert-snakeoil.pem"
#       cert_key = "/etc/ssl/certs/ssl-cert-snakeoil.key"
        #cert_pwd = "secretpassphrase"
#}
nat: {
        nice_debug = false
        full_trickle = true
        turn_rest_api_key = "apikey from server.conf"
}

Damit kann der Dienst gestartet werden.

Es braucht natürlich noch einen coturn Server. Dieser wird ganz simpel mit apt install coturn installiert und sollte wie bereits erwähnt nach dieser Anleitung schon installiert sein.

Konfiguration des Signaling Servers

Abschließend müssen wir den Signaling Server noch konfigurieren: nano /etc/signaling/server.conf:

• hashkey mit openssl rand -hex 16 generieren
• blockkey mit openssl rand -hex 16 generieren
• internalsecret ebenfalls mit einem String Generator setzen
• unter allowed alle Hostnamen eintragen, die dieses Backend verwenden dürfen
• direkt darunter bei secret ein Secret generieren. Das wird später bei Nextcloud in den Settings eingetragen
• connectionsperhost sollte adaptiert werden
• unter nats wird die url so gesetzt: url = nats://localhost:4222
• bei mcu wird die url so gesetzt: url = ws://0.0.0.0:8188 (Janus läuft nicht localhost, ist noch ein offenes Security Thema)
• unter turn wird apikey mit dem gleichen Wert vom Janus Server (turn_rest_api_key)  gesetzt
• das secret in der Rubrik turn bekommt den gleichen Wert wie static-auth-secret des Turnserver gesetzt
• bei servers werden alle Turnserver kommasepariert so gesetzt: turn:116.202.113.XXX:5349?transport=tcp

Nun sollte service signaling start erfolgreich sein.

nginx vhost

Ich habe meine nginx Installation nicht groß konfiguriert und möchte nur kurz meinen ssl vhost darstellen, den ihr auch 1:1 aus dem offiziellen Repo übernehmen könnt:

upstream signaling {
    server 127.0.0.1:8080;
}

server {
    listen 443 ssl http2;
    server_name signaling.xy.de;
        ssl_certificate /etc/letsencrypt/live/signaling.xy.de/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/signaling.xy.de/privkey.pem;
        add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

    location /standalone-signaling/ {
        proxy_pass http://signaling/;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

    location /standalone-signaling/spreed {
        proxy_pass http://signaling/spreed;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "Upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

Wenn ihr nun alles richtig gemacht habt, sollte curl -i https://signaling.xy.de/standalone-signaling/api/v1/welcome folgende Antwort liefern:

HTTP/1.1 200 OK
Date: Thu, 05 Jul 2018 09:28:08 GMT
Server: nextcloud-spreed-signaling/1.0.0
Content-Type: application/json; charset=utf-8
Content-Length: 59

{"nextcloud-spreed-signaling":"Welcome","version":"1.0.0"}

Nextcloud Integration

Installiert die Beta Version von Nextcloud Talk – am besten zum Testen mal in einer eigenen Installation auf dem Beta Release Channel für Nextcloud 19 (für Nextcloud 18 habe ich das nicht probiert). In den Einstellungen von Nextcloud im Reiter Talk nun folgende Konfiguration setzen:

STUN und Signaling Server laufen bei mir auf getrennten Maschinen. Das Gemeinsame Geheimnis ist das secret aus der Signaling Server conf.

---

Du möchtest regelmäßig Neuigkeiten von meinem Blog? Trag dich für meinen Newsletter ein:

Ich akzeptiere die Datenschutzbestimmungen. (Link)