Arsitektur Sistem

Topologi Jaringan

Server ujian mendukung dua topologi deployment. Pilih sesuai infrastruktur yang tersedia:

Opsi 1: Direct ke Internet (Full HTTPS)

Server ujian langsung berhadapan dengan internet. Membutuhkan IP Public dan sertifikat SSL.

Kapan menggunakan:

• Server punya IP Public sendiri
• Domain mengarah langsung ke IP server
• SSL certificate tersedia (bisa wildcard)

Opsi 2: Via HTTP Proxy (Reverse Proxy)

Server ujian di belakang reverse proxy. Tidak perlu IP Public atau SSL — cukup IP Private dan port 80.

Kapan menggunakan:

• Server berada di jaringan internal/kampus
• Sudah ada reverse proxy yang menangani SSL termination
• Tidak punya IP Public untuk server ujian

Tips: Gunakan Config Wizard untuk generate konfigurasi sesuai topologi yang dipilih. Wizard otomatis menyesuaikan parameter SSL dan security berdasarkan pilihan topologi.

Lihat juga: Kebutuhan Server — SSL Certificate, Keamanan — Toggle Security

Akses Lumbung Soal Nasional

Jika institusi menggunakan layanan Lumbung Soal Nasional, domain server ujian harus dapat diakses dari internet — bukan hanya dari jaringan lokal. Aplikasi Lumbung akan push data soal ke server ujian melalui API (/api/...) via HTTPS.

Penting:

• Domain server ujian harus selalu bisa diakses dari luar selama proses pengiriman soal
• Saat pelaksanaan ujian, akses dari internet bisa ditutup jika dikhawatirkan mengganggu — cukup akses dari lingkungan lokal saja
• Pastikan firewall/NAT mengizinkan koneksi masuk ke port 443 dari IP Lumbung

Overview Komponen

PC Ujian dan Pengawas
    │
    ▼
┌─────────┐     ┌──────────┐     ┌───────────┐
│  Nginx  │────▶│ PHP-FPM  │────▶│ MariaDB   │
│ (443/80)│     │ (socket) │     │ (3306)    │
└─────────┘     └──────────┘     └───────────┘
    │                │
    │                ▼
    │           ┌───────────┐
    │           │ Memcached │
    │           │ (11211)   │
    │           └───────────┘
    │
    ▼
┌─────────┐     ┌───────────┐
│ Fail2ban│     │  UFW      │
│ (jails) │     │ (firewall)│
└─────────┘     └───────────┘

Komponen

Nginx (Web Server)

• Versi >= 1.30 (dari repo nginx.org, bukan Debian default)
• Mode HTTPS (default): Listen port 80 (redirect ke HTTPS) dan 443 (SSL), HTTP/2 enabled
• Mode HTTP-only: Listen port 80 saja, tanpa SSL termination — untuk server di belakang reverse proxy
• Reverse proxy ke PHP-FPM via Unix socket
• Rate limiting per IP (tiered)
• Slowloris protection (timeout 10s)
• Security headers (HSTS, X-Frame-Options, X-Content-Type-Options)
• Gzip compression

PHP 8.3-FPM

• Dynamic process manager (tiered berdasarkan jumlah client)
• PHP runtime extension aktif (zend_extension)
• Pool khusus ujian dengan Unix socket (/run/php/php8.3-fpm-ujian.sock)
• Disabled dangerous functions (exec, system, proc_open, dll)
• open_basedir restriction
• Timezone: Asia/Jakarta

MariaDB

• Bind ke localhost only (127.0.0.1)
• InnoDB tuning (buffer pool, flush method, file-per-table)
• Slow query logging (threshold 2s)
• Query cache enabled

Memcached

• Session storage (menggantikan file-based sessions)
• Cache layer untuk aplikasi
• Bind ke localhost only
• Max item size: 4MB

Fail2ban

4 jails aktif:

• sshd: 5 retry, ban 1 jam
• nginx-http-auth: 5 retry, ban 1 jam
• nginx-botsearch: 10 retry, ban 24 jam
• nginx-req-limit: 5 retry, ban 2 jam

UFW Firewall

• Default deny incoming, allow outgoing
• Port terbuka: SSH (default 22, custom via --ssh-port), 80 (HTTP), 443 (HTTPS — hanya jika mode SSL), 53/udp (DNS)
• Port 3000 dibuka jika monitoring stack diinstall (Grafana)

DNSMasq

• Local DNS resolver
• Mapping domain ke semua IP server (untuk akses dari LAN)

Daftar Paket

Semua paket diinstall otomatis oleh examtool install. Tidak perlu install manual.

Web & Runtime

Database & Cache

Security

Analytics

DNS & Networking

System Tools

Repository Tambahan

Monitoring (Opsional)

Diinstall terpisah via examtool setup-monitoring:

Semua exporter hanya bind ke 127.0.0.1 — tidak terekspos ke luar. Hanya Grafana yang bisa diakses dari luar via port 3000.

File Konfigurasi

Aplikasi

Ujian

• Path: /var/www/ujian
• Config: /var/www/ujian/application/config/cbt_kedokteran_config.php

RASCH Analysis

• Path: /var/www/rasch

System Tuning

Kernel parameters yang dioptimasi:

• TCP connection backlog: 65535
• Port range: 1024-65535
• TCP reuse enabled, FIN timeout 15s
• Keepalive: 300s
• SYN cookies enabled (flood protection)
• Swappiness: 10 (prefer RAM)
• File descriptors: 2M

Arsitektur Docker (Alternatif)

Selain instalasi bare metal, server ujian juga bisa dijalankan via Docker Compose. Arsitektur containerized:

┌─────────────────────────────────────────────┐
│  Container: app (Debian Trixie)             │
│  ┌─────────┐  ┌─────────┐  ┌────────────┐  │
│  │  Nginx  │  │ PHP-FPM │  │ Memcached  │  │
│  │  (:80)  │  │ (8.3)   │  │  (:11211)  │  │
│  └─────────┘  └─────────┘  └────────────┘  │
│         managed by supervisord              │
└──────────────────┬──────────────────────────┘
                   │
         ┌─────────┴─────────┐
         ▼                   ▼
┌─────────────────┐  ┌──────────────────┐
│  Container: db  │  │  Monitoring      │
│  MariaDB 11.4   │  │  (opsional)      │
└─────────────────┘  └──────────────────┘

Perbedaan utama dengan bare metal:

• Semua service (Nginx, PHP-FPM, Memcached) dalam satu container dikelola supervisord
• MariaDB di container terpisah dengan health check
• Kode aplikasi di-mount sebagai volume (perubahan langsung terlihat)
• Tidak include firewall, fail2ban, DNSMasq — tangani di level host
• Tier scaling tetap sama (SMALL/MEDIUM/LARGE/MAX via env TIER)