Datenbank

1. Architektur

flowchart LR
    Browser["Browser"] -->|"HTTPS · 443"| Caddy["Caddy
Reverse Proxy + Auto-TLS"]
    Caddy -->|"Unix-Socket"| FPM["PHP-FPM"]
    FPM --> PMA["phpMyAdmin"]
    PMA -->|"127.0.0.1 : 3306"| DB[("MariaDB")]

    classDef default fill:#112338,stroke:#45d3ff,stroke-width:1px,color:#dce8f5,rx:8,ry:8
    classDef db fill:#0d1b2a,stroke:#7fffd4,stroke-width:1.5px,color:#dce8f5
    class DB db
    linkStyle default stroke:#45d3ff,stroke-width:1.5px,color:#91a7bd
          

2. MySQL oder MariaDB?

MariaDB ist ein 2009 von den ursprünglichen MySQL-Gründern gestarteter Fork von MySQL – als Reaktion auf die Übernahme von MySQL durch Sun und später Oracle. Beide Systeme sprechen bis heute dasselbe Protokoll auf Port 3306 und nutzen dieselben Client-Bibliotheken (z. B. php-mysql), haben sich seit MySQL 5.7/MariaDB 10.2 aber zunehmend auseinanderentwickelt.

3. MariaDB und PHP installieren

sudo apt update

sudo apt install mariadb-server php-fpm php-mysql php-mbstring php-xml php-curl php-zip php-gd

Dienste aktivieren und direkt starten:

sudo systemctl enable --now mariadb

sudo systemctl enable --now php8.5-fpm

systemctl list-unit-files | grep 'php.*fpm'

4. Editor-Grundlagen: nano und vim

nano zeigt die wichtigsten Tastenkombinationen permanent am unteren Bildschirmrand an und eignet sich für schnelle Änderungen. vim ist auf praktisch jedem Linux-System vorinstalliert und funktioniert auch dann zuverlässig, wenn Copy & Paste in einer Konsole (z. B. VNC oder seriellen Konsole) nicht verfügbar ist.

Anders als nano arbeitet vim modal: Der Normalmodus ist der Startzustand zum Navigieren, mit i/a/o wechselt man in den Einfügemodus, mit : in den Kommandozeilenmodus zum Speichern, Suchen/Ersetzen und Beenden.

Beide Editoren sind für alle folgenden Konfigurationsschritte gleichwertig einsetzbar; die Befehle in diesem Dokument zeigen nano, alternativ funktioniert überall vim.

5. MariaDB grundlegend absichern

sudo mariadb-secure-installation

Üblicherweise sind folgende Einstellungen sinnvoll:

• Anonyme Benutzer entfernen
• Testdatenbank löschen
• Remote-Root-Login deaktivieren
• Berechtigungstabellen neu laden

6. Separaten Datenbankbenutzer anlegen

Öffne zunächst die MariaDB-Konsole:

sudo mariadb

Lege anschließend einen eigenen Administrator für phpMyAdmin an:

CREATE USER 'dbadmin'@'localhost'
IDENTIFIED BY 'EIN_SEHR_STARKES_PASSWORT';

GRANT ALL PRIVILEGES ON *.* TO 'dbadmin'@'localhost'
WITH GRANT OPTION;

FLUSH PRIVILEGES;
EXIT;

7. phpMyAdmin installieren

sudo apt install phpmyadmin

Während der Installation:

• Keinen Webserver auswählen
• Mit Tab zu „OK“ wechseln und bestätigen
• Einrichtung über dbconfig-common bestätigen

phpMyAdmin liegt anschließend in der Regel unter:

/usr/share/phpmyadmin

sudo systemctl disable --now apache2

sudo apt remove apache2

8. PHP-FPM-Socket prüfen

find /run/php -name '*.sock'

Eine typische Ausgabe lautet (Version entsprechend der eigenen Installation):

/run/php/php8.5-fpm.sock

Dienststatus kontrollieren:

sudo systemctl status php8.5-fpm

9. Caddy konfigurieren

Öffne die Caddy-Konfiguration:

sudo nano /etc/caddy/Caddyfile

# oder:
sudo vim /etc/caddy/Caddyfile

Minimale Konfiguration für eine eigene Subdomain:

db.example.de {
    root * /usr/share/phpmyadmin
    php_fastcgi unix//run/php/php8.5-fpm.sock
    file_server
}

Konfiguration validieren und neu laden:

sudo caddy validate --config /etc/caddy/Caddyfile

sudo systemctl reload caddy

Wichtige Caddyfile-Direktiven

Alternative: Apache2 statt Caddy

sudo apt install apache2

sudo a2enmod proxy_fcgi setenvif

sudo a2enconf php8.5-fpm

Das PHP-FPM-Paket legt beim Installieren automatisch die Datei /etc/apache2/conf-available/php8.5-fpm.conf an; a2enconf aktiviert sie und verbindet Apache über proxy_fcgi mit dem PHP-FPM-Socket.

VirtualHost für phpMyAdmin anlegen:

sudo nano /etc/apache2/sites-available/db.example.de.conf

<VirtualHost *:80>
    ServerName db.example.de
    DocumentRoot /usr/share/phpmyadmin

    <Directory /usr/share/phpmyadmin>
        Options FollowSymLinks
        AllowOverride All
        Require all granted
    </Directory>

    ErrorLog ${APACHE_LOG_DIR}/db.example.de-error.log
    CustomLog ${APACHE_LOG_DIR}/db.example.de-access.log combined
</VirtualHost>

sudo a2ensite db.example.de.conf

sudo apache2ctl configtest

sudo systemctl reload apache2

Anders als Caddy stellt Apache kein automatisches HTTPS bereit. Ein Zertifikat lässt sich über Certbot einrichten, das den VirtualHost passend ergänzt:

sudo apt install certbot python3-certbot-apache

sudo certbot --apache -d db.example.de

Wichtige Apache-Direktiven

Alternative: Nginx statt Caddy

sudo apt install nginx

Server-Block für phpMyAdmin anlegen:

sudo nano /etc/nginx/sites-available/db.example.de

server {
    listen 80;
    server_name db.example.de;
    root /usr/share/phpmyadmin;
    index index.php;

    location / {
        try_files $uri $uri/ =404;
    }

    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_pass unix:/run/php/php8.5-fpm.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    }

    location ~ /\.ht {
        deny all;
    }
}

sudo ln -s /etc/nginx/sites-available/db.example.de /etc/nginx/sites-enabled/

sudo nginx -t

sudo systemctl reload nginx

Auch Nginx liefert kein automatisches HTTPS – ein Zertifikat lässt sich ebenfalls über Certbot einrichten:

sudo apt install certbot python3-certbot-nginx

sudo certbot --nginx -d db.example.de

Wichtige Nginx-Direktiven

10. Zugriff zusätzlich schützen

phpMyAdmin sollte nicht ohne zusätzliche Schutzschicht frei im Internet erreichbar sein.

Passwort-Hash erzeugen

caddy hash-password

Caddy mit Basic Auth

db.example.de {
    basic_auth {
        USERNAME DEIN_PASSWORT_HASH
    }

    root * /usr/share/phpmyadmin
    php_fastcgi unix//run/php/php8.5-fpm.sock
    file_server

    header {
        X-Content-Type-Options nosniff
        X-Frame-Options SAMEORIGIN
        Referrer-Policy same-origin
    }
}

Anschließend erneut prüfen und laden:

sudo caddy validate --config /etc/caddy/Caddyfile

sudo systemctl reload caddy

11. MariaDB-Konfiguration prüfen und anpassen

sudo ss -lntp | grep 3306

Optimal ist eine Bindung ausschließlich an die lokale Adresse:

127.0.0.1:3306

Falls MariaDB extern lauscht, prüfe folgende Datei:

sudo nano /etc/mysql/mariadb.conf.d/50-server.cnf

# oder:
sudo vim /etc/mysql/mariadb.conf.d/50-server.cnf

Danach MariaDB neu starten:

sudo systemctl restart mariadb

Wichtige Direktiven in 50-server.cnf

12. Fehlersuche

Caddy-Protokoll

sudo journalctl -u caddy -f

PHP-FPM-Protokoll

sudo journalctl -u php8.5-fpm -f

MariaDB-Protokoll

sudo journalctl -u mariadb -f

Aktive Dienste prüfen

systemctl status caddy mariadb php8.5-fpm

Caddy-Konfiguration formatieren

sudo caddy fmt --overwrite /etc/caddy/Caddyfile

13. Abschlusscheck

• DNS-Subdomain zeigt auf die öffentliche VPS-IP
• Caddy läuft und besitzt ein gültiges HTTPS-Zertifikat
• PHP-FPM-Socket stimmt mit der Caddy-Konfiguration überein
• phpMyAdmin öffnet sich über die gewünschte Subdomain
• Basic Auth oder eine IP-Beschränkung ist aktiv
• MariaDB lauscht nur auf 127.0.0.1:3306
• Für Anwendungen werden separate DB-Benutzer verwendet
• Regelmäßige Datenbank-Backups sind eingerichtet