Hintergrund: Eigene Online-Office Suite als reine Web-Anwendung, OpenSource, basierend auf LibreOffice
Installation erfolgt auf einer Test-Maschine die als Ubuntu 18.04 (Server) neu aufgesetzt wurde.

Voraussetzung:

Collabora arbeitet nicht "allein", sondern benötigt eine Sync&Share-Anwendung, die sich als Basis eignet. In diesem Beispiel wird eine Nextcloud-Installation verwendet. Collabora wird von dieser Installation aus als WOBI-URL eingebunden

Hinweis: Informationen über neuere Versionen von Nextcloud und Betriebssystemen befinden sich am Ende dieses Artikels!

1. Installation Von Nextcloud

1.1 Benötigte Ubuntu-Pakete installieren und Apache Module aktivieren

apt-get install apache2 mariadb-server libapache2-mod-php apt-transport-https
apt-get install php php-common php-curl php-gd php-imagick php7.2-json php-mbstring php-mysql php7.2-opcache php-pear php-pgsql php7.2-readline php-xml php-xmlrpc php-zip

a2enmod ssl
a2enmod rewrite
a2enmod proxy
a2enmod mod_proxy
a2enmod mod_proxyproxy_wstunnel
a2enmod proxy_wstunnel
a2enmod proxy_http

1.2 Download von Netxcloud

Der Download erfolgt über diese Adresse:
https://download.nextcloud.com/server/releases/nextcloud-15.0.4.zip
Entpacken nach:
/var/www/html/netxcloud

1.3 Anlegen einer Site-Configuration im Apache mit der Datei /etc/apache2/sites-avaliable/netxtcloud.conf:
Alias /nextcloud "/var/www/html/nextcloud/"

<Directory /var/www/html/nextcloud/>
  Options +FollowSymlinks
  AllowOverride All

 <IfModule mod_dav.c>
  Dav off
 </IfModule>

 SetEnv HOME /var/www/html/nextcloud
 SetEnv HTTP_HOME /var/www/html/nextcloud

</Directory>

Anschließend aktivieren mitb "a2ensite nextcloud"

1.4 Einrichten einer Mariadb-Datenbank:

create database nextcloud character set utf8 collate utf8_bin;
grant select,insert,update,delete,create,drop,alter,index on nextcloud.* to 'nextcloud'@'localhost' identified by '<passwd>';

1.5 Erst-Konfiguration Nextcloud

  Im Browser aufrufen:
    https://<meinserver.<meinedomain>.de/nextcloud/index.php
        • Administrator: admin <adminpasswd>
        • Datenbank: localhost, User nextcloud, Passwort <passwd>

Optional: Anbindung an einen AD-Controller
    • LDAP-Authentifikation (AD)
        • Modul LDAP aktivieren (Einstellungen-> AddOns)
        • Administraton -> LDAP/AD Integration
            - Host: <AD-Domäne>
            - User-DN: AD-User
            - Base-DN: <Domänen-Basis>
            - Filter:(&(objectCategory=Person)(sAMAccountName=*)(!(UserAccountControl:1.2.840.113556.1.4.803:=2)))

2. Collabora-Installations-Beschreibung für Ubuntu 16.04:

Beschreibung unter
https://www.collaboraoffice.com/code/ und
https://www.collaboraoffice.com/code/#packages_for_linux_x86_64_platform
Falls ein Proxy verwendet werden muss, wird dieser in der apt-Konfiguration angegeben:
Datei: /etc/apt/apt.conf.d/00proxy
Acquire::http::Proxy "http://proxy.example.de:80";
Acquire::https::Proxy "http://proxy.example.de:80";


2.1 Hinzufügen der Repositories für Collabora


# import the signing key
apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 0C54D189F4BA284D

# add the repository URL to /etc/apt/sources.list
echo 'deb https://collaboraoffice.com/repos/CollaboraOnline/CODE ./' >> /etc/apt/sources.list

2.2 Installation der collabora-Pakete
# perform the installation
apt-get update && apt-get install loolwsd code-brand


2.3 Anpassen der Konfiguration für den "Libre Office Online Websocket Daemon" (loolwsd) unter  /etc/loolwsd/loolwsd.xml Diese ist ein zentraler Punkt und muss etwas genauer vorgestellt werden. Hier ist eine Beispiel-Konfiguration abgebildet, zu verändernde Parameter sind fett hervorgehoben:

<config>

    <!-- Note: 'default' attributes are used to document a setting's default value as well as to use as fallback. -->
    <!-- Note: When adding a new entry, a default must be set in WSD in case the entry is missing upon deployment. -->

    <allowed_languages desc="List of supported languages on this instance." default="de_DE en_GB en_US es_ES fr_FR it nl pt_BR pt_PT ru">de_DE en_GB en_US es_ES fr_FR it nl pt_BR pt_PT ru</allowed_languages>

    <tile_cache_path desc="Path to a directory where to keep the tile cache." type="path" relative="false" default="/var/cache/loolwsd"></tile_cache_path>
    <sys_template_path desc="Path to a template tree with shared libraries etc to be used as source for chroot jails for child processes." type="path" relative="true" default="systemplate"></sys_template_path>
    <lo_template_path desc="Path to a LibreOffice installation tree to be copied (linked) into the jails for child processes. Should be on the same file system as systemplate." type="path" relative="false" default="/opt/collaboraoffice5.3"></lo_template_path>
    <child_root_path desc="Path to the directory under which the chroot jails for the child processes will be created. Should be on the same file system as systemplate and lotemplate. Must be an empty directory." type="path" relative="true" default="jails"></child_root_path>

    <server_name desc="Hostname:port of the server running loolwsd. If empty, it's derived from the request." type="string" default=""></server_name>
    <file_server_root_path desc="Path to the directory that should be considered root for the file server. This should be the directory containing loleaflet." type="path" relative="true" default="loleaflet/../"></file_server_root_path>

    <memproportion desc="The maximum percentage of system memory consumed by all of the LibreOffice Online, after which we start cleaning up idle documents" type="double" default="80.0"></memproportion>
    <num_prespawn_children desc="Number of child processes to keep started in advance and waiting for new clients." type="uint" default="1">4</num_prespawn_children>
    <per_document desc="Document-specific settings, including LO Core settings.">
        <max_concurrency desc="The maximum number of threads to use while processing a document." type="uint" default="4">4</max_concurrency>
        <idle_timeout_secs desc="The maximum number of seconds before unloading an idle document. Defaults to 1 hour." type="uint" default="3600">3600</idle_timeout_secs>
        <!-- Idle save and auto save are checked every 30 seconds -->
        <idlesave_duration_secs desc="The number of idle seconds after which document, if modified, should be saved. Defaults to 30 seconds." type="uint" default="30">30</idlesave_duration_secs>
        <autosave_duration_secs desc="The number of seconds after which document, if modified, should be saved. Defaults to 5 minutes." type="uint" default="300">300</autosave_duration_secs>
        <limit_virt_mem_kb desc="The maximum virtual memory allowed to each document process. 0 for unlimited, 1700 min." type="uint">0</limit_virt_mem_kb>
        <limit_data_mem_kb desc="The maximum memory data segment allowed to each document process. 0 for unlimited." type="uint">0</limit_data_mem_kb>
        <limit_stack_mem_kb desc="The maximum stack size allowed to each document process. 0 for unlimited." type="uint">8000</limit_stack_mem_kb>
        <limit_file_size_mb desc="The maximum file size allowed to each document process to write. 0 for unlimited." type="uint">200</limit_file_size_mb>
        <limit_num_open_files desc="The maximum number of files allowed to each document process to open. 0 for unlimited." type="uint">0</limit_num_open_files>
    </per_document>

    <per_view desc="View-specific settings.">
        <out_of_focus_timeout_secs desc="The maximum number of seconds before dimming and stopping updates when the browser tab is no longer in focus. Defaults to 60 seconds." type="uint" default="60">60</out_of_focus_timeout_secs>
        <idle_timeout_secs desc="The maximum number of seconds before dimming and stopping updates when the user is no longer active (even if the browser is in focus). Defaults to 15 minutes." type="uint" default="900">900</idle_timeout_secs>
    </per_view>

    <loleaflet_html desc="Allows UI customization by replacing the single endpoint of loleaflet.html" type="string" default="loleaflet.html">loleaflet.html</loleaflet_html>

    <logging>
        <color type="bool">true</color>
        <level type="string" desc="Can be 0-8, or none (turns off logging), fatal, critical, error, warning, notice, information, debug, trace" default="warning">warning</level>
        <file enable="false">
            <property name="path" desc="Log file path.">/var/log/loolwsd.log</property>
            <property name="rotation" desc="Log file rotation strategy. See Poco FileChannel.">never</property>
            <property name="archive" desc="Append either timestamp or number to the archived log filename.">timestamp</property>
            <property name="compress" desc="Enable/disable log file compression.">true</property>
            <property name="purgeAge" desc="The maximum age of log files to preserve. See Poco FileChannel.">10 days</property>
            <property name="purgeCount" desc="The maximum number of log archives to preserve. Use 'none' to disable purging. See Poco FileChannel.">10</property>
            <property name="rotateOnOpen" desc="Enable/disable log file rotation on opening.">true</property>
            <property name="flush" desc="Enable/disable flushing after logging each line. May harm performance. Note that without flushing after each line, the log lines from the different processes will not appear in chronological order.">false</property>
        </file>
    </logging>

    <loleaflet_logging desc="Logging in the browser console" default="false">false</loleaflet_logging>

    <trace desc="Dump commands and notifications for replay. When 'snapshot' is true, the source file is copied to the path first." enable="false">
        <path desc="Output path to hold trace file and docs. Use '%' for timestamp to avoid overwriting. For example: /some/path/to/looltrace-%.gz" compress="true" snapshot="false">/tmp/looltrace-%.gz</path>
        <filter>
            <message desc="Regex pattern of messages to exclude"></message>
        </filter>
        <outgoing>
            <record desc="Whether or not to record outgoing messages" default="false">false</record>
        </outgoing>
    </trace>

    <net desc="Network settings">
      <proto type="string" default="all" desc="Protocol to use IPv4, IPv6 or all for both">IPv4</proto>
    </net>

    <ssl desc="SSL settings">
        <enable type="bool" default="true">true</enable>
        <termination desc="Connection via proxy where loolwsd acts as working via https, but actually uses http." type="bool" default="true">false</termination>
        <cert_file_path desc="Path to the cert file" relative="false">/etc/loolwsd/cert.pem</cert_file_path>
        <key_file_path desc="Path to the key file" relative="false">/etc/loolwsd/key.pem</key_file_path>
        <ca_file_path desc="Path to the ca file" relative="false"></ca_file_path>
        <cipher_list desc="List of OpenSSL ciphers to accept" default="ALL:!ADH:!LOW:!EXP:!MD5:@STRENGTH"></cipher_list>
        <hpkp desc="Enable HTTP Public key pinning" enable="false" report_only="false">
            <max_age desc="HPKP's max-age directive - time in seconds browser should remember the pins" enable="true">1000</max_age>
            <report_uri desc="HPKP's report-uri directive - pin validation failure are reported at this URL" enable="false"></report_uri>
            <pins desc="Base64 encoded SPKI fingerprints of keys to be pinned">
            <pin></pin>
            </pins>
        </hpkp>
    </ssl>

    <security desc="Altering these defaults potentially opens you to significant risk">
      <seccomp desc="Should we use the seccomp system call filtering." type="bool" default="true">false</seccomp>
      <capabilities desc="Should we require capabilities to isolate processes into chroot jails" type="bool" default="true">true</capabilities>
    </security>

    <storage desc="Backend storage">
        <filesystem allow="false" />
        <wopi desc="Allow/deny wopi storage. Mutually exclusive with webdav." allow="true">
            <host desc="Regex pattern of hostname to allow or deny." allow="true">localhost</host>
            <host desc="Regex pattern of hostname to allow or deny." allow="true">nextcloudserver.example.com</host>
            <host desc="Regex pattern of hostname to allow or deny." allow="true">::1</host>
            <max_file_size desc="Maximum document size in bytes to load. 0 for unlimited." type="uint">0</max_file_size>
        </wopi>
        <webdav desc="Allow/deny webdav storage. Mutually exclusive with wopi." allow="false">
            <host desc="Hostname to allow" allow="false">localhost</host>
        </webdav>
    </storage>

    <tile_cache_persistent desc="Should the tiles persist between two editing sessions of the given document?" type="bool" default="true">true</tile_cache_persistent>

    <admin_console desc="Web admin console settings.">
        <enable desc="Enable the admin console functionality" type="bool" default="true">true</enable>
        <enable_pam desc="Enable admin user authentication with PAM" type="bool" default="false">false</enable_pam>
        <username desc="The username of the admin console. Ignored if PAM is enabled."></username>
        <password desc="The password of the admin console. Deprecated on most platforms. Instead, use PAM or loolconfig to set up a secure password."></password>
    </admin_console>

    <monitors desc="Addresses of servers we connect to on start for monitoring">
    </monitors>

</config>

Wichting sind hierdiese Abschnitte

  1. "net": Sollte die Verbindung zwischen Nextcloud und loolwsd nicht zustande kommen, kann es helfen, die Verwendung des IPv6 auszuschalten und die Version 4 (=IPv4) zu erzwingen. Da es sich um interne Kommunikation handelt, hat diese Einstellung keine Auswirkungen auf die Kommunikation mit dem Client.
  2. "ssl": Die Kommunikation zwischen dem Browser und dem loolwsd läuft SSL-verschlüsselt. eine Änderung auf unverschlüsselte Kommunikation durch den Parameter "termination" und Anpassung der Apache-Konfig war in meiner Konfiguration nicht hilfreich. Hier kann aber der SSH-Key nebst Zertifikat aus dem Apache-Store verwendet werden, er muss aber an den angegeben Ort kopiert werden, weil der User lool nicht den Private Key aus dem Apache-Store einsehen darf und eine Öffnung der Rechte nicht sinnvoll wäre.
  3. "security" Sollte eine Virtualisierungsumgebung verwendet werden, die das kernel-Modul "seccomp" nicht verwendet (wie z.B. "Virtuozzo"), kann dieses mit dem Parameter "seccomp" auf "false" ausgeschaltet werden. Vorsicht: der Parameter "capabilities" muss aber auf "true" bleiben, weil anderenfalls lool die benötigte Datei nicht findet und mit der Fehlermeldung, der Dateityp könne nicht ermittelt werden, seine Arbeit verweigert.
  4. "storage": Alle Server bzw. Adressen, die den lool nutzen sollen, müssen hier jeweils als separate Zeile ergänzt werden.

 

2.4 Starten der Collabora Software

 systemctl start loolwsd.service

2.5 Anpassen der Apache Config

Anlegen einer Site-Konfig für Apache unter /etc/apache2/sites-avaliable/lool.conf

<VirtualHost *:443>
  ServerName collabora.example.com:443

  # SSL configuration, you may want to take the easy route instead and use Lets Encrypt!
  SSLEngine on
  SSLCertificateFile /path/to/signed_certificate
  SSLCertificateChainFile /path/to/intermediate_certificate
  SSLCertificateKeyFile /path/to/private/key
  SSLProtocol             all -SSLv2 -SSLv3
  SSLCipherSuite ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS
  SSLHonorCipherOrder     on

  # Encoded slashes need to be allowed
  AllowEncodedSlashes NoDecode

  # Container uses a unique non-signed certificate
  SSLProxyEngine On
  SSLProxyVerify None
  SSLProxyCheckPeerCN Off
  SSLProxyCheckPeerName Off

  # keep the host
  ProxyPreserveHost On

  # static html, js, images, etc. served from loolwsd
  # loleaflet is the client part of LibreOffice Online
  ProxyPass           /loleaflet https://127.0.0.1:9980/loleaflet retry=0
  ProxyPassReverse    /loleaflet https://127.0.0.1:9980/loleaflet

  # WOPI discovery URL
  ProxyPass           /hosting/discovery https://127.0.0.1:9980/hosting/discovery retry=0
  ProxyPassReverse    /hosting/discovery https://127.0.0.1:9980/hosting/discovery

  # Main websocket
  ProxyPassMatch "/lool/(.*)/ws$" wss://127.0.0.1:9980/lool/$1/ws nocanon

  # Admin Console websocket
  ProxyPass   /lool/adminws wss://127.0.0.1:9980/lool/adminws
  # Download as, Fullscreen presentation and Image upload operations
  ProxyPass           /lool https://127.0.0.1:9980/lool
  ProxyPassReverse    /lool https://127.0.0.1:9980/lool

  ProxyPass /hosting/capabilities https://127.0.0.1:9980/hosting/capabilities retry=0
  ProxyPassReverse /hosting/capabilities https://127.0.0.1:9980/hosting/capabilities
</VirtualHost>

Anschließend aktivieren mit a2ensite lool

3. Einbinden in Nextcloud:

3.1 Vorbereitung

Das Plugin für Collabora muss in Nextcloud aus dem Repository von Nextcloud eingebunden werden. Falls der Server die Verbindung nur über einen Proxy aufbauen kann, muss die folgende Einstellung vorgenommen werden:

    Ergänzen in der /var/www/html/nextcloud/config/config.php
'proxy' => 'http://proxy.hs-owl.de:80',

Achtung: Diese Einstellung wird nur für Aktivierung des Collabora-Plugins benötigt. Zur weiteren Konfiguration muss sie wieder entfernt werden, weil sonst der interne Socket nach localhost nicht gefunden wird!!!

Falls für die lool-Umgebung Self Signed Certs verwendt werden, müssen diese im PHP noch übernommen werden:
    #sudo -u www-data php /var/www/nextcloud/occ security:certificates:import /etc/ssl/certs/ssl-cert-snakeoil.pem

Sicherheitstechnisch besser ist jedoch, auch hier offizielle Zertifikate zu verwenden.
    

3.2 Konfiguraton in Nextcloud

Im Web-Portal von Nextcloud als admin-User anmelden und dort unter "Einstellungen" -> "Apps" -> "Büro&Text" ->"Collabora Online" aktivieren
 Dann unter Einstellungen->Administration->Collabora Online die neue URL einstellen:
        https://<collabora-server>

Fertig!

 

Nun können ODT- und Word-Dateien direkt im Portal bearbeitet werden, ohne sie herunter zu laden oder Browser-Plugins zu benutzen. Auch Versionen und gemeinsame Bearbeitung ist hier möglich!

Nachtrag zu Ubuntu 20.04

Bei der Installation unter Ubuntu 20.04 feht dem Paket "loolwsd" ein Paket, das nicht aus dem Ubuntu-Repository entnommen werden kann. Es handelt sich dabei um libpng12, das unter Focal Fossa dirch libpng16 ersetzt wurde. Leider verweigert loolwsd dadurch die Installation. Abhilfe schafft hier, da Paket manuell nachzuinstallieren, da es problemlos parallel zu pibpng16 installiert werden kann.
Als Quelle dient hier Launchpad, das die benötigte Datei direkt zum Download bereit stellt. Der benötigte Befehl lautet demnach zurzeit (Stand: 2021-09-29):

wget https://launchpad.net/~ubuntu-security/+archive/ubuntu/ppa/+build/15108504/+files/libpng12-0_1.2.54-1ubuntu1.1_amd64.deb

apt install ./libpng12-0_1.2.54-1ubuntu1.1_amd64.deb

Anschließend können die Pakete "loolwsd" und "code-brand" wie oben beschrieben nachinstalliert werden.

Nachtrag zu Ubuntu 22.04

Die Installation unter Ubuntu 22.04 ist zwar noch nicht offiziell, doch finden sich unter https://www.collaboraoffice.com/code/linux-packages/ die nötigen Hinweise, um die Installation erfolgreich vormehmen zu können. Die Umstände wie unter 20.04 sind dabei nicht mehr nötig. Folgende Befehle sind im root-Kontext durchzuführen

cd /etc/apt/trusted.gpg.d/
wget https://collaboraoffice.com/downloads/gpg/collaboraonline-release-keyring.gpg
echo "deb https://www.collaboraoffice.com/repos/CollaboraOnline/CODE-ubuntu2204 ./" > /etc/apt/sources.list.d/collabora.list

apt update && apt install coolwsd code-brand

mkdir /var/log/code
chown code: /var/log/code

Anschließend muss die Datei /etc/coolwsd/coolwsd.xml wie beschrieben geändert werden!

Wechsel auf 21.11

Wurde das Paket bislang als "loolwsd" bereit gestellt, hat Collabora-Office nun mit dem Wechsel auf die Version 21.11 auch das Paket in "coolwsd" umbenannt (klingt ja auch "cooler", oder?). Allerdings haben sich auch einige Pfade dazu geändert, so dass beispielsweise die Konfiguration in "/etc/coolwsd/coolwsd.xml" abgelegt wird. Das bedeutet, dass einige Handabeit nach dem Umzug notwendig ist, um das System wieder zur Arbeit zu bewegen.

Die offiziellen Hinweise hirezu finden sich auf der Seite von collabora.com.

Glücklichereise hat sich an dem Konstrukt der Konfiguration rellativ wenig geändert, so dass die oben unter 2.3 aufgeführten Abschnitte auf gleiche Weise mit ein paar Ergänzungen geändert werden müssen. Zur Übersicht seien sie aber noch einmal aufgeführt:

  1. "net": Sollte die Verbindung zwischen Nextcloud und loolwsd nicht zustande kommen, kann es helfen, die Verwendung des IPv6 auszuschalten und die Version 4 (=IPv4) zu erzwingen. Da es sich um interne Kommunikation handelt, hat diese Einstellung keine Auswirkungen auf die Kommunikation mit dem Client. In diesem Bereich werden auch unter "<post_allow>" die Adressen aufgeführt, von denen die Anfragen eingereicht werden. Hier werden alle Adressen des Nextcloud-Servers benötigt, also alle Localhost- und offizielle IP-Adressen.
  2. "ssl": Die Kommunikation zwischen dem Browser und dem coolwsd läuft SSL-verschlüsselt. eine Änderung auf unverschlüsselte Kommunikation durch den Parameter "termination" und Anpassung der Apache-Konfig war in meiner Konfiguration nicht hilfreich. Hier kann aber der SSH-Key nebst Zertifikat aus dem Apache-Store verwendet werden, er muss aber an den angegeben Ort kopiert werden, weil der User lool nicht den Private Key aus dem Apache-Store einsehen darf und eine Öffnung der Rechte nicht sinnvoll wäre.
  3. "security": Sollte eine Virtualisierungsumgebung verwendet werden, die das kernel-Modul "seccomp" nicht verwendet (wie z.B. "Virtuozzo"), kann dieses mit dem Parameter "seccomp" auf "false" ausgeschaltet werden.
    Hinweis: der Parameter "capabilities" muss aber auf "true" bleiben, weil anderenfalls "cool" die benötigte Datei nicht findet und mit der Fehlermeldung, der Dateityp könne nicht ermittelt werden, seine Arbeit verweigert. In manchen Umgebungen ist aber die Prozess-Capability (auch bei "Virtuozzo") nicht verfügbar. Dann muss "capabilities" auf "false" und "seccomp" auf "true" gesetzt werden.
  4. "storage": Alle Server bzw. Adressen, die den lool nutzen sollen, müssen hier jeweils als separate Zeile im Unterberich "<wopi>" ergänzt werden.

Da bei der Installation eine Datei "/etc/coolwsd/coolwsd.xml" mit Defaultwerten mitgeliefert wird, können diese Änderung übersichtlich als "diff" kenntlich gemacht werden. Die Phantasie-Adressen "123.45.67.89" und "my.servername.com" müssen selbstverständich durch eigene, korrekte Adressen ersetzt werden.

@@ -85,9 +85,9 @@
        <!-- lokit_sal_log example: Log WebDAV-related messages, that is interesting for debugging Insert - Image operation: "+TIMESTAMP+INFO.ucb.ucp.webdav+WARN.ucb.ucp.webdav"
             See also: https://docs.libreoffice.org/sal/html/sal_log.html -->
        <lokit_sal_log type="string" desc="Fine tune log messages from LOKit. Default is to suppress log messages from LOKit." default="-INFO-WARN">-INFO-WARN</lokit_sal_log>
-        <file enable="false">
+        <file enable="true">
            <!-- If you use other path than /var/log and you run coolwsd from systemd, make sure that you enable that path in coolwsd.service (ReadWritePaths). -->
-            <property name="path" desc="Log file path.">/var/log/coolwsd.log</property>
+            <property name="path" desc="Log file path.">/var/log/cool/coolwsd.log</property>
            <property name="rotation" desc="Log file rotation strategy. See Poco FileChannel.">never</property>
            <property name="archive" desc="Append either timestamp or number to the archived log filename.">timestamp</property>
            <property name="compress" desc="Enable/disable log file compression.">true</property>
@@ -110,7 +110,7 @@
         not here.
    -->
    <trace_event desc="The possibility to turn on generation of a Chrome Trace Event file" enable="false">
-        <path desc="Output path for the Trace Event file, to which they will be written if turned on at run-time" type="string" default="/var/log/coolwsd.trace.json">/var/log/coolwsd.trace.json</path>
+           <path desc="Output path for the Trace Event file, to which they will be written if turned on at run-time" type="string" default="/var/log/coolwsd.trace.json">/var/log/cool/coolwsd.trace.json</path>
    </trace_event>
 
    <browser_logging desc="Logging in the browser console" default="false">false</browser_logging>
@@ -128,25 +128,16 @@
    <net desc="Network settings">
      <!-- On systems where localhost resolves to IPv6 [::1] address first, when net.proto is all and net.listen is loopback, coolwsd unexpectedly listens on [::1] only.
           You need to change net.proto to IPv4, if you want to use 127.0.0.1. -->
-      <proto type="string" default="all" desc="Protocol to use IPv4, IPv6 or all for both">all</proto>
+      <proto type="string" default="all" desc="Protocol to use IPv4, IPv6 or all for both">IPv4</proto>
      <listen type="string" default="any" desc="Listen address that coolwsd binds to. Can be 'any' or 'loopback'.">any</listen>
      <!-- this allows you to shift all of our URLs into a sub-path from
           https://my.com/browser/a123... to https://my.com/my/sub/path/browser/a123... -->
      <service_root type="path" default="" desc="Prefix all the pages, websockets, etc. with this path."></service_root>
      <post_allow desc="Allow/deny client IP address for POST(REST)." allow="true">
-        <host desc="The IPv4 private 192.168 block as plain IPv4 dotted decimal addresses.">192\.168\.[0-9]{1,3}\.[0-9]{1,3}</host>
-        <host desc="Ditto, but as IPv4-mapped IPv6 addresses">::ffff:192\.168\.[0-9]{1,3}\.[0-9]{1,3}</host>
+        <host desc="Official IPv4 Address of this server.">123\.45\.67\.89</host>
        <host desc="The IPv4 loopback (localhost) address.">127\.0\.0\.1</host>
        <host desc="Ditto, but as IPv4-mapped IPv6 address">::ffff:127\.0\.0\.1</host>
        <host desc="The IPv6 loopback (localhost) address.">::1</host>
-        <host desc="The IPv4 private 172.16.0.0/12 subnet part 1.">172\.1[6789]\.[0-9]{1,3}\.[0-9]{1,3}</host>
-        <host desc="Ditto, but as IPv4-mapped IPv6 addresses">::ffff:172\.1[6789]\.[0-9]{1,3}\.[0-9]{1,3}</host>
-        <host desc="The IPv4 private 172.16.0.0/12 subnet part 2.">172\.2[0-9]\.[0-9]{1,3}\.[0-9]{1,3}</host>
-        <host desc="Ditto, but as IPv4-mapped IPv6 addresses">::ffff:172\.2[0-9]\.[0-9]{1,3}\.[0-9]{1,3}</host>
-        <host desc="The IPv4 private 172.16.0.0/12 subnet part 3.">172\.3[01]\.[0-9]{1,3}\.[0-9]{1,3}</host>
-        <host desc="Ditto, but as IPv4-mapped IPv6 addresses">::ffff:172\.3[01]\.[0-9]{1,3}\.[0-9]{1,3}</host>
-        <host desc="The IPv4 private 10.0.0.0/8 subnet (Podman).">10\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}</host>
-        <host desc="Ditto, but as IPv4-mapped IPv6 addresses">::ffff:10\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}</host>
      </post_allow>
      <frame_ancestors desc="Specify who is allowed to embed the Collabora Online iframe (coolwsd and WOPI host are always allowed). Separate multiple hosts by space."></frame_ancestors>
      <connection_timeout_secs desc="Specifies the connection, send, recv timeout in seconds for connections initiated by coolwsd (such as WOPI connections)." type="int" default="30"></connection_timeout_secs>
@@ -179,7 +170,7 @@

    <security desc="Altering these defaults potentially opens you to significant risk">
      <seccomp desc="Should we use the seccomp system call filtering." type="bool" default="true">true</seccomp>
-      <capabilities desc="Should we require capabilities to isolate processes into chroot jails" type="bool" default="true">true</capabilities>
+      <capabilities desc="Should we require capabilities to isolate processes into chroot jails" type="bool" default="true">false</capabilities>
      <jwt_expiry_secs desc="Time in seconds before the Admin Console's JWT token expires" type="int" default="1800">1800</jwt_expiry_secs>
      <enable_macros_execution desc="Specifies whether the macro execution is enabled in general. This will enable Basic, Beanshell, Javascript and Python scripts. If it is set to false, the macro_security_level is ignored. If it is set t
o true, the mentioned entry specified the level of macro security." type="bool" default="false">false</enable_macros_execution>
      <macro_security_level desc="Level of Macro security. 1 (Medium) Confirmation required before executing macros from untrusted sources. 0 (Low, not recommended) All macros will be executed without confirmation." type="int" default="1"
>1</macro_security_level>
@@ -221,6 +212,11 @@
            </group>-->
            <!-- More "group"s possible here -->
            </alias_groups>
+                    <host allow="true" desc="Regex pattern of hostname to allow or deny.">127\.0\.0\.1</host>
+                    <host allow="true" desc="Regex pattern of hostname to allow or deny.">localhost</host>
+                    <host allow="true" desc="Regex pattern of hostname to allow or deny.">my.servername.com</host>
+                    <host allow="true" desc="Regex pattern of hostname to allow or deny.">::1</host>

        </wopi>
        <ssl desc="SSL settings">


Hinweis: Diese Einstellungen stellen einen Vorschlag dar, sie führen nicht zwangsweise zu einem funktionierenden System. Hier soll nur deutlich gemacht werden, welche Teilbereiche der Konfigurationsdatei besonders betrachtet werden müssen!!

Der Start des "Collabora Office Online" (cool) erfolt dann mit dem Befehl "systemctl start coolwsd.service"