книги хакеры / журнал хакер / 120_Optimized

>>

Апач работает

LVM (обычный и шифрованный) и ручной труд. Каждый имеет свои плюсы и минусы; если есть сомнения, здесь же доступна справка, которая поможет тебеопределитьсясвыбором.Приавтоматическойразметкескриптсоздает swap-раздел, равный 1.5 объема ОЗУ (с конца диска). Все остальное место форматируетсякакext3имонтируетсякаккорневойраздел.Чтож,новичкам такаясхемавполнеподойдет.Приручнойразметкедляразмещенияжурна- ловсобытий,файловБДиданныхвеб-сервералучшесоздатьотдельныераз-

делы/var/log, /var/mysqlи/var/www,отформатированныевReiserFS.

Эта файловая система обеспечивает улучшенную производительность при работесбольшимколичествоммаленькихфайлов.Кстати,вUbuntuестьодна особенность: каталог /var/run обязательно должен быть расположен в корневой файловой системе, иначе некоторые сервисы просто не смогут загрузиться.Еслипланируетсяразрешитьпользователямсоздаватьпубличные веб-папки (об этом чуть ниже), то имеет смысл назначить раздел для /home. Под корень достаточно отвести 3-4 Гб. Затрудняешься определить, сколько требуетсяместаподкаждыйраздел?Тогдастоитприсмотретьсякменеджеру логическихтомовLVM.Послеустановкибазовойсистемысоздаемучетную записьпользователя,которыйбудетодновременноисуперпользователем (через sudo). Мастер установки предлагает семь готовых конфигураций сервера:DNS,LAMP,Mail,OpenSSH,PostgreSQL,PrintиSamba.Послевы-

бора любого варианта на выходе получаем готовое решение. Но это предложение для новичков, а чтобы полностью контролировать процесс, лучшевсекомпонентыустановитьсамостоятельно.Темболее,врепозитарии дистрибутива,какправило,находятсяпакетыпосвежее,иприобновлении дистрибутива все равно эти файлы придется качать. Если дальнейшую настройку планируется производить удаленно, ставим только «OpenSSH server». Остальные действия скрипт произведет уже без нашего участия. Спустя некоторое время получим сообщение о том, что установка сервера успешнозавершена.

Настройка сервера

Один из сетевых интерфейсов уже настроен во время установки. Если сервер имеет несколько сетевых карт, их необходимо сконфигурировать вручную. Открываем файл /etc/network/interfacesи правим:

$sudonano-w/etc/network/interfaces

auto lo

iface lo inet loopback

#Интерфейс eth0 настраивается автоматически посредством

DCHP auto eth0

iface eth0 inet dhcp

#Параметры eth1 указываем самостоятельно

Файловый менеджер Midnight Commander — незаменимый помощник начинающего админа

auto eth1

iface eth1 inet static

\address 192.168.0.200

\netmask 255.255.255.0

\network 192.168.0.0

\broadcast 192.168.0.255

\gateway 192.168.0.1

Перезапускаем Сеть:

$ sudo /etc/init.d/networking restart

Теперь в /etc/hosts прописываем соответствие имени узла и IP-адре- са. Например:

$sudonano/etc/hosts

192.168.0.200 web.server.com web

Аналогично добавляем записи и для остальных узлов (в том числе и виртуальных), с которыми будем «общаться».

После установки системы в /etc/hostname должно быть прописано имя узла. Если вывод команды «hostname» не соответствует должному, редактируем этот файл.

Установку пакетов будем производить из сетевого репозитария, поэтому в файле /etc/apt/sources.list строка «deb cdrom:[UbuntuServer 8.04 _Hardy Heron_ — Release i386 (20080701)]/ hardy main restricted» должна быть закомментирована. Так как мы непланируемничегосамостоятельнокомпилировать,токомментируеми строки, начинающиеся с «deb-src». Остальное оставляем, как есть.

В некоторых случаях AppArmor (программный инструмент упреждающей защиты, основанный на политиках безопасности, подробности ищи в статье «Бронированный тукс» в z_08_2007) слишком рьяно выполняет своиобязанности.Например,приустановкеispCP(смотристатью«Незаменимый помощник хостера» в z_10_2008) AppArmor напрочь блокировал работу сервисов. При построении защищенного Web-сервера можно обойтись и без него. Поэтому если обнаружится какая-то проблема, останавливаем работу профилей безопасности:

$ sudo /etc/init.d/apparmor stop

Если после этого проблема решена, отключаем автозагрузку AppArmor или совсем его удаляем:

$ sudo update-rc.d -f apparmor remove

$ sudo apt-get remove apparmor apparmor-utils

ХАКЕР.PRO

Настраиваем сетевые интерфейсы

Впроцессеустановкидолженпоявитьсязапроснавводпароляадминистраторабазыданных.Еслиэтогонепроизошло,устанавливаемпасссамостоятельно:

$ sudo mysqladmin -u root password пароль

Пробуем подключиться к базе данных и получить список таблиц:

$ mysql -u root -p

Welcome to the MySQL monitor. Commands end with ; or \g.

Your MySQL connection id is 16

Server version: 5.0.51a-3ubuntu5.1 (Ubuntu) mysql> use mysql;

mysql> show tables; mysql> quit;

В настройках по умолчанию мускул будет отрабатывать только локальныеподключения:

$ cat /etc/mysql/my.cnf | grep bind-address bind-address\ = 127.0.0.0

Проверяем,прослушиваетсялипорт3306/tcp:

ХАКЕР.PRO

/etc/network/interfaces—настройкасетевыхинтерфейсов /etc/hostname—сетевоеимяузла

/etc/hosts—соответствиеименииIP(локальныйDNS)

/etc/resolv.conf—IP-адресаDNS-серверов

/etc/apt/sources.list—используемыеAPT-репозитариипакетов

/etc/mysql/my.cnf—настройкаMySQL

/etc/apache2—каталогсконфигурационнымифайламивеб-сервера

/etc/apache2/apache2.conf—основнойфайлнастройкиApache /etc/apache2/conf.d/fqdn—имя(ServerName)веб-сервераподефолту /etc/apache2/envvars—основныепеременныеApache /etc/apache2/sites-available/default—сайтпо-умолчанию

/etc/php5—файлынастроекPHP5

info

•Ядро Ubuntu Server Edition специально оптимизировано для работы на сервере за счет Tickless, No Preemption, Deadline I/O, PAE и 100Hz.

•О повышении безопасности вебсервера читай в статье «Возьми индейца под защиту», опублико-

ванной в z_10_2007.

трибутиве отсутствуют — не беда. Просто сними соответствующие комментарии в php.ini:

$sudonano/etc/php5/apache2/php.ini

;Максимальный размер загружаемого файла. Вспомни о нем, когда WordPress откажется понимать файл большего размера. upload_max_filesize = 6M

;Подключение модулей для работы с MySQL ;extension=mysql.so ;extension=mysqli.so

;Безопасный режим запрещает скриптам производить любые действия, которые являются небезопасными для Web-сервера (будь внимателен, не все CMS его любят)

safe_mode=on

;Перечень функций, использование которых запрещено в пользовательских скриптах disable_functions=system,exec

Вообще, параметров в php.ini довольно много. Советую уделить время их изучению.

Настройка виртуальных хостов

Веб-сервер Apache разрешает использовать несколько вариантов выделения пользователям места под собственный веб-сайт. Самый простой — это подкаталог в корне веб-сервера. Например, создаем каталог /var/www/ site1. Теперь к нему можно обратиться как http:// localhost/site1. Но это не всегда удобно, ведь каждый сайт обычно имеет свое уникальное доменное имя. Еще один вариант — разрешить пользователям, имеющим учетные записи в системе, самостоятельно создавать веб-ресурсы. Активировать такую функциональность можно при помощи параметра UserDir. Вариантов тут, как обычно, несколько — чаще всего под веб-сервис используют подкаталог public_html в домашней директории пользователя. Заносим в apache2.conf строку:

UserDir public_html

И подгружаем модуль userdir:

$ sudo a2enmod userdir

Эта команда соответствует добавлению в apache2.conf таких строк:

modules/mod_userdir.so

…

<IfModule mod_userdir.c> UserDir public_html UserDir disabled root

<Directory /home/*/public_html> AllowOverride FileInfo AuthConfig Limit Options MultiViews Indexes SymLinksIf \

OwnerMatch IncludesNoExec </Directory>

</IfModule>

Теперь любому пользователю достаточно создать в своем домашнем каталоге поддиректорию public_html

(mkdir -m 755 ~/public_html), и его содержимое будет доступно по адресу http://localhost/~user. Адрес можно сделать приятнее глазу, немного поэкспериментировав с UserDir (за детальным описанием и примерами обращайся к httpd.apache.org/docs/2.2/mod/mod_userdir. html).Итретий,самыйпопулярныйвариант—виртуальные хосты. В этом случае все узлы, висящие на одном IP (и одном Apache), будут иметь свое имя, по которому веб-сервер и определит, из какого каталога следует отдавать файл.

Управление виртуальными хостами в Apache организовано аналогичномодулям,—в/etc/apache2/sites-available

помещаем файл с описанием, а командой a2ensite с названиемфайлаеговключаем.Да,конечно,намподсилуописать все узлы в apache2.conf, но это не очень удобно. Просмотрев список ссылок в sites-enabled, можно быстро узнать, сколько сейчас виртуальных серверов активно, и при необходимости легко включить или отключить любой из них.

В sites-available уже находится файл default, кото-

рый описывает узел по умолчанию. Его можно использовать как шаблон (этот же узел будет отвечать, если к серверу обратиться по IP-адресу, а не по имени):

$ sudo cp /etc/apache2/sites-available/default /etc/apache2/sites-available/server.com

$sudonano/etc/apache2/sites-available/server.com

NameVirtualHost server.com

<VirtualHost server.com> ServerAdmin webmaster@server.com

# Каталог виртуального хоста

DocumentRoot /var/www/server.com

>>

Проверяем работу мускула

Options Indexes FollowSymLinks MultiViews AllowOverride None

Order allow,deny allow from all

</Directory>

# Для CGI-скриптов

ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ <Directory "/usr/lib/server.com/cgi-bin">

AllowOverride None

Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch Order allow,deny

Allow from all </Directory>

# Журналирование событий

ErrorLog /var/log/apache2/error.log LogLevel warn

CustomLog /var/log/apache2/access.log ServerSignature On

</VirtualHost>

Смотрим, с правами какого пользователя работает веб-сервер (в Ubuntu эти данные вынесены в отдельный файл):

$cat/etc/apache2/envvars

export APACHE_RUN_USER=www-data export APACHE_RUN_GROUP=www-data

Создаем каталог, в котором будут находиться файлы сервера, устанавливаем его владельцем учетную запись www-data и включаем новый сайт:

$ sudo mkdir /var/www/server.com

$ sudo chown www-data:www-data /var/www/server.com $ sudo a2ensite server.com

При необходимости заносим данные об имени компьютера в /etc/hosts, перезапускаем веб-сервер и пробуем зайти на server.com.

Заключение

Мыполучилиполностьюработоспособныйвеб-серверсподдержкойPHP и MySQL, который можно использовать для хостинга, биллинга, форума илиприразработкескриптов. Схемуможнорасширять:настроитьподде- ржкуSSLиквот,задействоватьModSecurityдлязащитывеб-приложений как от известных, так и еще неизвестных атак, установить Webalizer или AWStats для сбора и визуализации статистики. Тем, у кого мало опыта ра- ботысMySQL,непомешаетвеб-интерфейсphpMyAdmin.Неплохозареко- мендовал себя и Webmin, позволяющий управлять всеми компонентами LAMP при помощи локализованного веб-интерфейса. z