# Installation der Firewall:
apt install ufw -y

# Konfiguration und Aktivierung der Firewall:
ufw allow http
ufw allow https
ufw allow ssh
ufw allow 3478/tcp
ufw allow 3478/udp
ufw enable

Schlüssel 1

# TURN-Key
openssl rand -hex 32

Schlüssel 2

# API-Key
openssl rand -base64 16

Schlüssel 3

# Nextcloud Secret-Key
openssl rand -hex 16

Schlüssel 4

# Block-Key
openssl rand -hex 16

Schlüssel 5

# Hash-Key
openssl rand -hex 16

Coturn installieren und Backup der Default-Konfiguration

apt install coturn -y

mv /etc/turnserver.conf /etc/turnserver.conf.bak

Coturn-Dienst aktivieren

vim /etc/default/coturn

# Datei /etc/default/coturn

# Kommentar-Zeichen entfernen:
TURNSERVER_ENABLED=1

vim /etc/turnserver.conf

Datei /etc/turnserver.conf

# Folgenden Inhalt in die Datei einfügen,
# <Schlüssel 1> und <Schlüssel 6> durch die oben erzeugten Schlüssel ersetzen
# und die Domäne anpassen:

listening-port=3478
fingerprint
use-auth-secret
static-auth-secret=<Schlüssel 1>
realm=signaling.ihre-schule.de
total-quota=0
bps-capacity=0
no-tls
no-dtls
stale-nonce
no-stdout-log
log-file=/tmp/coturn.log
no-multicast-peers

Coturn-Server neu starten und als Dienst aktivieren

systemctl restart coturn.service && systemctl enable coturn.service

Installation erforderlicher Pakete

# Erforderliche Pakete für das Kompilieren und Erzeugen von Programmen
apt install meson make cmake build-essential -y

# Erforderliche Pakete für janus
apt install libmicrohttpd-dev libjansson-dev libssl-dev libsofia-sip-ua-dev libglib2.0-dev libopus-dev libogg-dev libcurl4-openssl-dev liblua5.3-dev libconfig-dev pkg-config gengetopt libtool automake

Libnice erzeugen und installieren

cd /root
git clone https://gitlab.freedesktop.org/libnice/libnice
cd libnice
meson --prefix=/usr build && ninja -C build && sudo ninja -C build install

Libsrtp erzeugen und installieren

cd /root
wget https://github.com/cisco/libsrtp/archive/v2.3.0.tar.gz
tar xfv v2.3.0.tar.gz
cd libsrtp-2.3.0
./configure --prefix=/usr --enable-openssl
make shared_library && sudo make install

Usrsctp erzeugen und installieren

cd /root
git clone https://github.com/sctplab/usrsctp
cd usrsctp
./bootstrap
./configure --prefix=/usr --disable-programs --disable-inet --disable-inet6 --libdir=/usr/lib64
make && sudo make install
libtool --finish /usr/lib64/

Libwebsockets erzeugen und installieren

cd /root
git clone https://libwebsockets.org/repo/libwebsockets
cd libwebsockets
mkdir build
cd build
cmake -DLWS_MAX_SMP=1 -DLWS_WITHOUT_EXTENSIONS=0 -DCMAKE_INSTALL_PREFIX:PATH=/usr -DCMAKE_C_FLAGS="-fpic" ..
make && sudo make install

Janus erzeugen und installieren

cd /root
git clone https://github.com/meetecho/janus-gateway.git
cd janus-gateway
sh autogen.sh
./configure --prefix=/opt/janus --disable-rabbitmq --disable-mqtt
make && sudo make install
make configs

Janus als Dienst einrichten

vim /etc/systemd/system/janus.service

Datei /etc/systemd/system/janus.service

[Unit]
Description=My Janus WebRTC Server
#Ursprünglich: After=network.target
After=coturn.service

[Service]
Restart=on-abnormal
LimitNOFILE=65536
ExecStart=/opt/janus/bin/janus

[Install]
WantedBy=multi-user.target

Janus konfigurieren

vim /opt/janus/etc/janus/janus.jcfg

Datei /opt/janus/etc/janus/janus.jcfg

# Begeben Sie sich in der Konfigurationsdatei zum Bereich "NAT".
# Suchen Sie nach den nachfolgenden Zeilen, geben Sie dort die entsprechenden
# Daten an und achten Sie darauf, dass jene Zeilen nicht auskommentiert sind.
# Ersetzen Sie <Schlüssel 2> durch den oben generierten Schlüssel.

stun_server = "signaling.ihre-schule.de"
stun_port = 3478
nice_debug = false
full_trickle = true

turn_rest_api_key = "<Schlüssel 2>"

Janus neu starten und als Dienst aktivieren

systemctl daemon-reload && systemctl restart janus.service && systemctl enable janus.service

Installation von Docker für den NATS-Server und Aktivierung als Dienst

curl -sSL https://get.docker.com/ | CHANNEL=stable sh
systemctl enable docker.service
systemctl start docker.service

NATS als Docker-Image starten

docker run --restart=always --name=NATSSERVER -d -p 4222:4222 -ti --restart=always nats:latest

Notwendige Pakete installieren

apt install git automake golang build-essential python3 -y

Klonen des Git-Repositorys und Erstellen des Pakets mit build

cd /opt
git clone https://github.com/strukturag/nextcloud-spreed-signaling.git
cd nextcloud-spreed-signaling/
make build

Paket Kopieren

cp /opt/nextcloud-spreed-signaling/bin/signaling /usr/bin/

Dedizierten Benutzer mit Namen signaling anlegen

useradd --system --shell /usr/sbin/nologin --comment "Standalone signaling server for Nextcloud Talk." signaling

mkdir /etc/signaling/
touch /etc/signaling/server.conf
chown signaling: /etc/signaling/server.conf
chmod 600 /etc/signaling/server.conf
vim /etc/signaling/server.conf

Datei /etc/signaling/server.conf

[http]
listen = 127.0.0.1:8080

[app]
debug = false

[sessions]
hashkey = <Schlüssel 5>
blockkey = <Schlüssel 4>


[backend]
# Unter backends können mit Komma getrennt mehrere Backends angegeben werden:
# z. B. backends = backend-1, backend-2, backend-3
backends = backend-1
allowall = false
timeout = 10
connectionsperhost = 8

[backend-1]
url = https://nextcloud.ihre-schule.de
secret = <Schlüssel 3>

#[backend-2]
#url = ...
#secret = ...

[nats]
url = nats://localhost:4222

[mcu]
type = janus
url = ws://127.0.0.1:8188

[turn]
apikey = <Schlüssel 2>
secret = <Schlüssel 1>
servers = turn:signaling.ihre-schule.de:3478?transport=udp,turn:signaling.ihre-schule.de:3478?transport=tcp

Den Signal-Server als Dienst konfigurieren

cp /opt/nextcloud-spreed-signaling/dist/init/systemd/signaling.service /etc/systemd/system/signaling.service

Signal-Server als Dienst aktivieren und starten

systemctl daemon-reload
systemctl enable signaling
systemctl start signaling

Notwendige Pakete installieren

apt install nginx python3-certbot-nginx -y

vHost-Eintrag erzeugen

vim /etc/nginx/sites-available/signaling

Datei /etc/nginx/sites-available/signaling

# Achtung: Domänennamen anpassen!
upstream signaling {
    server 127.0.0.1:8080;
}

server {
    listen 80;
    server_name signaling.ihre-schule.de;
    add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

location /standalone-signaling/ {
        proxy_pass http://signaling/;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

    location /standalone-signaling/spreed {
        proxy_pass http://signaling/spreed;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "Upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }

}

vHost aktivieren und NGINX neu starten

ln -s /etc/nginx/sites-available/signaling /etc/nginx/sites-enabled/signaling
systemctl reload nginx

Lets-Encrypt-Zertifikat mit certbot generieren

# Achtung: Domäne anpassen!
# Bei Durchlauf der Certbot-Routine die Frage nach dem HTTP-Redirect
# mit dem Wert "2", also dem Redirect aller Anfragen auf HTTPS, beantworten.

certbot --authenticator standalone --installer nginx -d signaling.ihre-schule.de --pre-hook "service nginx stop" --post-hook "service nginx start"

NGINX neu starten

systemctl reload nginx

Abschluss der Installation

# Starten Sie zum Abschluss der Installation den Server neu
reboot

Fehlersuche

# Einen ersten Anhaltspunkt bei fehlern geben die Logdateien der Dienste
# Coturn, Janus und Signaling:

journalctl -u coturn.service
journalctl -u janus.service
journalctl -u signaling.service

# Mit dem Parameter -b werden die Logdateien auf Ereingisse 
# seit dem letzten Bootvorgang beschränkt. 
# Mit dem Parameter -f wird das Ende der Logdatei und während der Anzeige
# hinzugekommene Ereignisse angezeigt.

journalctl -u coturn.service -b -f
journalctl -u janus.service -b -f
journalctl -u signaling.service -b -f