RTzRa's hive - software:apache

Nginx, Apache, REMOTE_ADDR 127.0.0.1

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Nginx, Apache, REMOTE_ADDR 127.0.0.1

Ситуация: требовалась стандартная настройка Nginx в роли реверс-прокси, Apache 2.4.x в роли бэкенда, сверху все это придавлено Bitrix. При эксплуатации выяснилось, что в Битриксе (Рабочий стол → Настройки → Инструменты → Журнал событий) все IP адреса представляли собой 127.0.0.1 хотя, казалось бы, все было корректно настроено.

В процессе разборок выяснилось, что в Apache 2.4.x модуль rpaf работает криво (Version: 0.6-12) и требуется использовать имеющийся стандартный remoteip. Но в таком случае либо включаем remoteip и видим корректные адреса в админке Битрикса и 127.0.0.1 в логах веб-сервера, либо с точностью до наоборот - в логах красота, а в Битриксе любуемся на 127.0.0.1

Что же, будем скрещивать ужа и ежа: оба модуля будут работать вместе.

Apache

Ставим модуль rpaf:

# apt-get install libapache2-mod-rpaf
# a2enmod rpaf
# cat /etc/apache2/mods-enabled/rpaf.conf
<IfModule rpaf_module>
   RPAFenable On
   RPAFsethostname Off
   RPAFproxy_ips 127.0.0.1 ::1
   RPAFheader X-Real-IP
</IfModule>

Включаем модуль remoteip:

# a2enmod remoteip
# cat /etc/apache2/mods-enabled/remoteip.conf
<IfModule remoteip_module>
 RemoteIPHeader X-Forwarded-For
 RemoteIPInternalProxy 127.0.0.1
</IfModule>

Перезапускаем apache2:

# service apache2 restart

Nginx

Добавляем в настройки сайта:

...
    location / {
        proxy_pass http://127.0.0.1:8080/;
        proxy_redirect off;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $remote_addr;
...

перезапускаем nginx:

# service nginx restart

Все, можно проверять логи.

apache, nginx, rpaf, remoteip, REMOTE ADDR, 127.0.0.1

Запуск виртуальных хостов Apache2 от разных ...

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Запуск виртуальных хостов Apache2 от разных пользователей

Похоже что на Ubuntu 10.04.1 LTS x64 + Apache/2.2.14 + apache2-mpm-itk + PHP 5.3.2-1ubuntu4.5 with Suhosin-Patch (cli) течет память. В результате в логе виднеются «[error] child died with signal 11» На самом деле течет связка php-apc + Joomla

Производительность: apache2-mpm-itk примерно в 6 раз медленнее чем apache2-mpm-prefork отдает статику - имейте в виду. Рекомендуется устанавливать модуль Apache2 mod_ruid2

Безопасность и все такое - вот так вот если вкратце.

mod_ruid2

Ставим

# apt-get install libapache2-mod-ruid2

Далее добавляем в файл /etc/apache2/apache2.conf настройки по умолчанию, это делается добавлением строки:

RUidGid ${APACHE_RUN_USER} ${APACHE_RUN_GROUP}

И наконец в настройки виртуальных хостов нужно добавить строки вида:

RUidGid myuser mygroup

MPM-ITK

Ставим

# apt-get install apache2-mpm-itk

Внимание: стандартный apache2 будет целиком и полностью заменен новым! Файлы конфигурации не пострадают.

Добавлем вашего нового пользователя:

# useradd -s /bin/false -m -d /var/www/siteN -c "websiteN.ru" siteN

Не забудьте установить права на папку /var/www/siteN !

# chown -R siteN:siteN /var/www/siteN

Редактируем конфигурационные файлы виртуальных хостов:

<IfModule mpm_itk_module>
   AssignUserId siteN_username siteN_usergroup
</IfModule>

Примечание: сначала указывается имя пользователя, затем группа.

После того как вы отредактировали ваши конфиги надо перезапустить apache2

# /etc/init.d/apache2 restart

После этого виртуальные хосты будут работать от пользователей которых вы указали в конфигах.

Откат на другую версию апача

Просто и незатейливо:

# sudo apt-get install apache2-mpm-prefork

Ссылки

По мотивам http://sudouser.com/zapusk-virtualnyx-xostov-apache2-ot-raznyx-polzovatelej.html

Хорошая объяснялка (Eng) - http://articles.slicehost.com/2010/5/19/configuring-the-apache-mpm-on-ubuntu

apache, apache2-mpm-itk, запуск от разных пользователей

Авторизация в Apache2

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Авторизация в Apache2

Создаем файл .htaccess со следующим содержимым:

Options -Indexes

AuthType Basic
AuthName "Please enter Username and Password"
AuthUserFile /var/www/users.db
AuthGroupFile /dev/null

<Limit GET POST>
    Require valid-user
</Limit>

Создаем файл паролей:

$ sudo touch users.db

Устанавливаем права:

$ sudo chown root:root users.db
$ chmod 660 users.db

Добавляем пользователя:

$ sudo htpasswd users.db username

apache, apache2, htaccess, авторизация

Устанавливаем лимит для Apache

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Устанавливаем лимит для Apache

Apache или какой-то его VirtualHost жрет много CPU/RAM или запускает кучу процессов? Пора прекращать это безобразие.

RLimitCPU

Синтаксис: RLimitCPU seconds|max [seconds|max]

Значение по умолчанию: Возврат к исходному состоянию используя значения по умолчанию операционной системы

Контекст: конфигурация сервера, virtual host

Модуль: Core

Совместимость: RLimitCPU доступен только в Apache 1.2 и выше

Получает 1 или 2 параметра. 1-й параметр устанавливает ограничение ресурса программного обеспечения для всех процессов и 2-й параметр устанавливает максимальное ограничение ресурса. Любой параметр может быть числовой или «max», чтобы указать серверу, что ограничение быть установлено к максимуму, позволенному конфигурацией операционной системы. Использование максимального ограничения ресурса требует, чтобы сервер или работал под root, или запускался из-под него. Ограничение применимо к процессам, порожденным Apache, а не самому Apache. Так же ограничение накладывается на скрипты CGI и SSI, но не на любой процесс, порожденный вебсервером.

Ограничение CPU указывается в секундах для одного процесса.

RLimitMEM

Синтаксис: RLimitMEM bytes|max [bytes|max]

Ограничение памяти, указывается в байтах на процесс. Например RLimitMEM 1048576 - ограничение в 1 Мб.

RLimitNPROC

Синтакс: RLimitNPROC number|max [number|max]

Ограничивает количество процессов, которые могут быть запущены дочерним процессом.

apache, апач, лимиты, ограничения, RLimitCPU, RLimitMEM, RLimitNPROC

ModSecurity

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

ModSecurity

Модуль для повышения защищенности веб-сервера. Умеет предотвращать известные и неизвестные типы атак.

Ссылки

Официальный сайт http://www.modsecurity.org/
Сторонняя репа с новой версией для Ubuntu 10.04 LTS: https://launchpad.net/~futurepilot/+archive/ppa/

Apache и безопасность

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Apache и безопасность

Возможные способы защиты:

Настройка средствами самого Apache.
- Пользователь и группа, под которыми работает апач.
- Права на папки.
- Директивы типа AllowOverride и т.д.
- Болтливость сервера: ServerSignature Off и ServerTokens Prod
- Отключаем ненужные модули апача
ModSecurity - отбиваем атаки
Suhosin - защита PHP
mod_chroot - пихаем веб-сервер в песочницу
mod_ruid2 или apache2-mpm-itk - каждый сайт работает под своим пользователем, учитывая что mpm-itk работает очень медленно
Закрываем доступ к админкам CMS и важным папкам при помощи .htpasswd и .htaccess , а файлы с паролями - ставим владельцем root:root и права -rw-r–r– (644). Критичные файлы можно вообще закрыть от чтения.
AppArmor - и в довершении всего полируем этим

Статьи

http://www.xakep.ru/magazine/xa/106/154/1.asp

apache, rights, security, modsecurity, suhosin, chroot, mpm-itk, безопасность, секурити

Стресс-тест Apache2

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Стресс-тест Apache2

Для этого есть замечатаельная утилитка ab, идущая в комплекте.

Использование (самый просто способ):

# ab -n 5000 -c 50 http://www.your_server.com/

n - общее кол-во запросов для теста
c - кол-во одновременно совершаемых запросов

Apache: записываем User Agent

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Apache: записываем User Agent

Добавляем в любой конфиг следующую конструкцию:

CustomLog /var/log/apache2/user_agents.log "%{user-agent}i"

apache, user agent, юзерагент