Хант Крэйг. TCP/IP Сетевое администрирование

Подождите немного. Документ загружается.

392

Глава 11. Настройка Apache

В некоторых системах число модулей, встроенных в демон Apache, может

быть достаточно большим. В системах Solaris и Red Hat по умолчанию таких

модулей всего два:

http_core.c

Главный модуль. Он всегда связывается с ядром Apache статически и пре-

доставляет базовую функциональность, необходимую каждому веб-серве-

ру Apache. Данный модуль является обязательным, состав прочих может

меняться.

modso.c

Данный модуль предоставляет поддержку времени выполнения для мо-

дулей динамических разделяемых объектов. Он требуется, если вы наме-

реваетесь динамически подключать другие модули во время работы сер-

вера. Если модули загружаются посредством инструкций в файле ht-

tpd.conf, наличие данного модуля обязательно. По этой причине он часто

встраивается в ядро Apache.

Помимо двух этих встроенных модулей, в Solaris используется большое чис-

ло динамически загружаемых модулей. Для загрузки объектов DSO в файле

httpd.conf применяются инструкции LoadModule и AddModule. Прежде все-

го, каждый модуль должен быть указан в инструкции LoadModule. Напри-

мер, следующая строка из файла Solaris httpd.conf определяет модуль,

отслеживающий пользователей посредством cookie-квитанций:

LoadModule usertrackjnodule /usr/apache/libexec/mod_usertrack.so

Инструкция LoadModule содержит имя модуля и путь к файлу разделяемого

объекта.

Прежде чем модуль можно будет использовать, его следует добавить в спи-

сок модулей, доступных серверу Apache. Первый шаг на пути к новому спис-

ку модулей - очистка старого списка. Она выполняется посредством инст-

рукции ClearModuleList. У инструкции ClearModuleList нет аргументов или

параметров. Она фигурирует в файле httpd.conf за последней инструкцией

LoadModule и до первой инструкции AddModule.

Инструкция AddModule добавляет имя модуля в список модулей. Список

модулей должен содержать все необязательные модули, как встроенные в

сервер, так и загружаемые динамически. Для нашей тестовой системы Sola-

ris это означает, что инструкций AddModule в файле httpd.conf на одну боль-

ше, чем инструкций LoadModule. Дополнительная инструкция AddModule

относится к модулю mod_so.c, который на нашей тестовой системе является

единственным встроенным из необязательных модулей.

Однако инструк-

ции LoadModule и AddModule по большей части встречаются парами: одна

инструкция AddModule на каждую инструкцию LoadModule. Например,

следующая инструкция AddModule в файле Solaris httpd.conf добавляет мо-

Модуль http_core.c является интегральной частью Apache. Он не устанавливается

командами LoadModule и AddModule.

Постигаем файл httpd.conf 393

дуль usertrack_module, определенный инструкцией LoadModule, которую

мы ранее уже встречали, в список модулей:

AddModule mod_usertrack.c

Инструкция AddModule требует указания имени исходного файла загружае-

мого модуля. Обратите внимание - это имя исходного файла, компиляция

которого привела к получению объектного модуля, а не имя модуля из инст-

рукции LoadModule. Это имя, если не считать расширения, полностью совпа-

дает с именем объектного файла. В инструкции LoadModule, которая исполь-

зует расширение разделяемых объектов .so, именем объектного файла явля-

ется mod._usertrack.so. Инструкция AddModule работает с расширением фай-

лов исходного текста - .с, поэтому в ней фигурирует имя modjusertrack.c.

В табл. 11.1 перечислены все модули, упомянутые в инструкциях AddModule

файла httpd.conf системы Solaris 8.

Таблица 11.1. Модули DSO, загружаемые при настройке сервера в Solaris

Модуль

Назначение

mod_access Реализует управление доступом

mod_actions Позволяет использовать специальные обработчики для отдель-

ных типов MIME или методов доступа

mod_alias Позволяет ссылаться на документы и сценарии, существующие

за пределами корневого каталога документа

mod_asis

Определяет типы файлов, передаваемых без заголовков

mod_auth

Реализует аутентификацию пользователей

mod_auth_arxon

Реализует анонимный доступ

mod_auth_dbm

Реализует работу с файлом данных аутентификации в формате

DBM

mod_autoindex

Реализует автоматическое создание указателя

mod_cern_meta Реализует совместимость со старыми веб-серверами CERN

mod_cgi Реализует исполнение программ CGI

moddigest Реализует аутентификацию по алгоритму MD5

mod_dir Управляет форматом перечней файлов в каталогах

mod_env Разрешает сценариям CGI и серверным инструкциям SSI (server-

side includes) наследовать все переменные среды интерпретатора

mod_expires

Позволяет указывать дату для заголовка Expires:

mod_headers Реализует настраиваемые заголовки ответов

mod_imap Реализует обработку сенсорных карт

mod_include Реализует обработку SSI-файлов

mod_info Позволяет использовать информацию о сервере

Модуль Назначение

mod_log_config

Позволяет настраивать формат записей журнала

mod_mime

Реализует поддержку файлов MIME

mod_mime_magic Позволяет определять MIME-тип файла по его содержимому

mod_negotiation Реализует согласование MIME-содержимого

mod_perl

Реализует поддержку языка Perl

mod_proxy Позволяет использовать веб-кэширование

mod_rewrite Позволяет использовать отображения URI в имена файлов

mod_setenvif Позволяет выполнять настройку переменных среды на основе

сведений, полученных от клиента

mod_so

Обеспечивает поддержку динамических разделяемых объектов

(DSO) во время работы сервера

mod_speling Автоматически исправляет мелкие ошибки орфографии

mod_status

Обеспечивает веб-доступ к отчету серверной информации

mod_uriique_id Позволяет генерировать уникальный идентификатор для каждо-

го запроса

moduserdir Определяет каталог, в котором пользователи могут создавать

свои веб-страницы

mod_usertrack Позволяет отслеживать пользователей при помощи уникальных

идентификаторов, известных как coookie-квитанции

mod_vhost_alias Реализует поддержку для именованных виртуальных узлов

Добавляя модули в настройки сервера, будьте очень осторожны. Порядок

следования инструкций LoadModule и AddModule в файле httpd.conf неверо-

ятно важен. Не изменяйте настройки, если не уверены в своих действиях.

Прежде чем устанавливать новый модуль, прочтите документацию к нему,

а также документацию по модулям, хранимую в каталоге manual/mod дист-

рибутива Apache. Более подробные рекомендации по установке новых моду-

лей приводятся в книге «Linux Apache Web Server Administration», упомя-

нутой выше.

Когда загружены модули DSO, их инструкции можно использовать в файле

настройки. Продолжим изучение файла httpd.conf для Solaris и обратимся к

некоторым из основных инструкций настройки.

Основные инструкции настройки

В этом разделе рассмотрены шесть различных инструкций в том виде, в ка-

ком они существуют в примере настройки нашей системы Solaris:

ServerAdmin webmaster@www,wrotethebook.com

Глава 11. Настройка Apache 394

Таблица 11.1 (продолжение)

Постигаем файл httpd.conf 395

ServerName www.wrotethebook.com

UseCanonicalName On

ServerRoot "/var/apache"

ServerType standalone

Port 80

О двух из них, ServerAdmin и ServerName, уже шла речь ранее. ServerAdmin

позволяет указать адрес электронной почты администратора веб-сервера. В

стандартной настройке Solaris используется фиктивное значение уои@уо-

ur.host. Его следует заменить полным адресом электронной почты действи-

тельного администратора, прежде чем запускать веб-сервер.

ServerName определяет имя узла, которое передается клиентам, когда они

запрашивают данные с этого сервера. В стандартной настройке Solaris инст-

рукция ServerName закомментирована, то есть клиентам передается «насто-

ящее» имя узла. Таким образом, если первому сетевому интерфейсу присво-

ено имя crab.wrotethebook.com, это имя передается клиентам. Многие специ-

алисты по Apache рекомендуют явным образом указывать значение Server-

Name в целях документирования настройки и гарантии нужного

результата. Ранее мы установили ServerName в значение www.wrotethebo-

ok.com, поэтому, хотя веб-сервер и работает на узле crab, он будет известен

под именем www.wrotethebook.com для всех веб-взаимодействий. Разумеет-

ся, имя www.wrotethebook.com должно быть правильно зарегистрировано в

DNS. (В главе 8 можно найти определение имени www в качестве псевдонима

узла crab в файле зоны wrotethebook.com.)

Связанной с ServerName инструкцией является UseCanonicalName, которая

определяет, каким образом httpd создает URL, «ссылающиеся на себя»

(«self-referencing»). Имеются в виду такие URL, в которых в качестве имени

хоста указано имя самого сервера. Например, для сервера www.wrotethebo-

ok.com URL, начинающийся со строки http://www.wrotethebook.com, будет

ссылаться на себя. Имя узла в URL должно быть каноническим, то есть име-

нем, которое посредством DNS может быть преобразовано в действительный

IP-адрес. Когда UseCanonicalName принимает значение on (включено), как в

стандартной настройке для Solaris, в URL, ссылающихся на себя, сервер за-

дается значением ServerName. В большинстве случаев следует оставить ин-

струкцию включенной. Если отключить UseCanonicalName, используется

значение из запроса клиента.

Параметр ServerRoot указывает каталог, в котором хранятся важные файлы

httpd, включая журналы ошибок, журналы обращений, а также три файла

настройки: httpd.conf, srm.conf и access.conf. В Solaris ServerRoot указывает

на каталог /var/apache. Это неожиданно, потому что файлы настройки для

демона httpd в Solaris на самом деле расположены в каталоге /etc/apache.

Очевидно, действует еще какой-то механизм.

В Solaris используется ключ -f командной строки httpd - для переопределе-

ния месторасположения файла httpd.conf во время работы сервера, httpd за-

пускается во время загрузки системы из сценария /etc/init.d/apache. Этот

сценарий определяет переменную C0NF_FILE, в которой хранится значение

396 Глава 11. Настройка Apache

/etc/apache/httpd.conf. Переменная используется в команде httpd, выполня-

ющей запуск веб-сервера, и именно эта переменная определяет расположе-

ние файла настройки в системе Solaris.

Параметр ServerType определяет способ запуска сервера. Если сервер запус-

кается из загрузочного сценария, параметру присваивают значение standa-

lone. Если сервер запускается по необходимости - посредством inetd, пара-

метру присваивают значение

inetd.

В стандартной настройке для Solaris Ser-

verType имеет значение

standalone,

которое является предпочтительным, по-

скольку веб-сервер обычно пользуется высоким спросом, и лучше всего

запускать его при загрузке системы. Разумеется, вполне возможна ситуа-

ция, когда пользователь создает небольшой, мало востребованный сайт на

своей рабочей станции, и в таком варианте может быть более предпочтитель-

ным запуск сервера посредством inetd. Однако для веб-сервера вашей сети

следует использовать значение standalone.

Инструкция Port определяет номер порта TCP, используемого сервером.

Стандартный порт имеет номер 80. Иногда частные веб-серверы работают

через порты с другими номерами. К примеру, сервер AnswerBook2 в Solaris

работает через порт 8888. Прочие популярные номера портов для веб-сайтов

специального назначения - 8080 и 8000. Если используется нестандартный

номер порта, обязательно уведомите пользователей. К примеру, URL веб-сай-

та, доступного через порт TCP 8080, выглядит следующим образом: http://

jerboas.wrotethebook. сот:8080.

Когда ServerType принимает значение

inetd,

желательно присвоить парамет-

ру Port значение, отличное от стандартного (80). Причиной тому - «привиле-

гированность» портов ниже 1024. Если используется порт 80, демон httpd

должен выполняться из inetd в качестве процесса администратора (пользо-

вателя root). Это создает потенциальную уязвимость, поскольку злоумыш-

ленник может найти способ через веб-сайт получить root-доступ к системе.

Использование порта с номером 80 вполне допустимо при значении Server-

Type standalone, поскольку начальный процесс httpd не обслуживает клиен-

тов напрямую. Вместо этого он порождает набор других демонов HTTP, на-

зываемый пулом, и эти демоны предоставляют доступ клиентам. Демоны

пула не работают с полномочиями администратора.

Управление пулом

Изначально веб-сервер был спроектирован таким образом, что создавал от-

дельный процесс для обработки каждого запроса. Высокая нагрузка на веб-

сервер при этом неизбежно влекла высокую загрузку процессора системы и

значительно снижала скорость ее реакции. Процессы httpd были способны

свести к минимуму жизнедеятельность всей системы.

В Apache применяется иной подход. Пул процессов запускается при загруз-

ке (приведенная ранее команда ps отражает набор процессов

httpd,

работаю-

щих в системе Solaris), и рабочая нагрузка распределяется между процесса-

ми пула. Если все долгоживущие процессы httpd заняты обработкой, сервер

Постигаем файл httpd.conf 397

порождает дополнительные процессы, принимающие на себя часть нагруз-

ки. За управление пулом порожденных процессов в Apache отвечают пять

инструкций настройки.

MinSpareServers

Определяет число постоянных свободных процессов сервера. В настрой-

ках Solaris принято значение 5, то есть значение по умолчанию в дистри-

бутиве Apache. Если число свободных процессов опускается ниже пяти,

создается дополнительный процесс, и число таких процессов восстанав-

ливается. Пять процессов - разумное значение для среднего сервера; оно

позволяет обрабатывать серии из пяти запросов подряд, не заставляя

клиента ожидать, пока запустится порожденный процесс. Для сервера с

небольшой загрузкой можно использовать меньшее число, а серверу с вы-

сокой загрузкой может быть полезно более высокое значение. Однако нет

смысла держать большое число свободных процессов, если они никогда

не будут востребованы.

MaxSpareServers

Определяет максимально допустимое число свободных процессов серве-

ра. Данная инструкция предотвращает бездействие слишком большого

числа процессов. Если число свободных процессов превышает значение

MaxSpareServers, лишние свободные процессы принудительно заверша-

ются. В настройке для Solaris MaxSpareServers получает значение 10, то

есть значение по умолчанию в дистрибутиве Apache. Значение MaxSpare-

Servers рекомендуется выбирать таким образом, чтобы оно превышало

значение MinSpareServers примерно в два раза.

StartServers

Определяет число демонов httpd, запускаемых при загрузке. В настройке

для Solaris StartServers получает значение 5. Действие этой инструкции

напрямую отражается на выводе команды ps, приводившемся ранее в

этой главе и содержавшем сведения о шести процессах демона httpd.

Один из этих процессов - родительский, он управляет пулом; пять дру-

гих процессов - порожденные, они и занимаются обработкой запросов

данных, поступающих от клиентов.

MaxClients

Определяет максимальное число обращений от клиентов, обслуживаемых

единовременно. После превышения значения MaxClients поступающие за-

просы на HTTP-соединения не обслуживаются. В Solaris данный параметр

принимает значение 150, которое наиболее широко распространено. Max-

Clients не позволяет серверу использовать все ресурсы системы при полу-

чении чрезмерно большого числа запросов. Значение MaxClients можно

увеличивать лишь на сверхпроизводительной системе с быстрыми диско-

выми накопителями и большим объемом памяти. Как правило, справ-

ляться с ростом числа клиентов лучше путем увеличения числа серверов.

Верхний порог для MaxClients определяется значением HARD_SER-

398 Глава 11. Настройка Apache

VER_LIMIT, которое указывается при компиляции Apache. По умолча-

нию HARD SERVER LIMIT равно 256.

MaxRequestsPerChild

Определяет, сколько запросов может обработать порожденный процесс,

прежде чем будет завершен. В Solaris MaxRequestsPerChild принимает

значение 0, «неограниченное», то есть порожденный процесс может обра-

батывать поступающие от клиентов запросы, пока работает система.

В данной инструкции всегда следует указывать значение 0, за исключе-

нием случаев, когда достоверно известно, что библиотека, использовав-

шаяся для компиляции Apache, подвержена утечкам памяти.

Инструкции User и Group определяют идентификатор пользователя (UID) и

группы (GID), с полномочиями которых выполняется пул процессов httpd.

Когда httpd запускается при загрузке системы, то, обладая полномочиями

суперпользователя, устанавливает связь с портом 80 и запускает группу по-

рожденных процессов, которые занимаются обслуживанием запросов.

Именно этим порожденным процессам присваиваются идентификаторы UID

и GID, определенные в файле httpd.conf. UID и GID следует выбирать таким

образом, чтобы веб-сервер получил минимальные права доступа к системе.

В операционной системе Solaris устанавливается уровень доступа пользовате-

ля nobody и группы nobody. Это ясно видно из вывода последней команды ps.

Один процесс httpd принадлежит пользователю root, а еще пять процессов

httpd - пользователю nobody. Альтернативой использованию пользователя/

группы nobody является создание идентификатора пользователя и группы

специально для httpd. Выбрав этот путь, будьте особенно внимательны при

создании прав доступа к файлам для учетной записи демона. Преимущество

создания специального пользователя и группы для httpd в том, что можно

использовать групповые права для повышения защищенности, а также сни-

мается зависимость от общесистемных полномочий nobody.

Хранение данных

Инструкция DocumentRoot определяет каталог, в котором хранятся доку-

менты веб-сервера. Из соображений безопасности файлы настройки хранят-

ся в другом каталоге. Как мы уже видели, инструкция DocumentRoot в Sola-

ris представлена следующим образом:

DocumentRoot "/var/apache/htdocs"

Чтобы применить инструкции к определенным каталогам, необходимо соз-

дать для этих инструкций контейнер (container). Следующие три инструк-

ции httpd.conf применяются для создания контейнеров:

Инструкция Directory создает контейнер для инструкций, относящихся

к каталогу pathname. Любая инструкция настройки, следующая за инст-

рукцией Directory и предшествующая следующему оператору </Di rec-

to гу>, применяется только к указанному каталогу.

Постигаем файл httpd.conf 399

Инструкция Location создает контейнер для инструкций, относящихся к

конкретному документу

(document).

Любая инструкция настройки, следу-

ющая за инструкцией Location и предшествующая следующему операто-

ру

</Location>,

применяется только к указанному документу.

Инструкция Files создает контейнер для инструкций, относящихся к

конкретному файлу

(filename).

Любая инструкция настройки, следующая

за инструкцией Files и предшествующая следующему оператору </Files>,

применяется только к указанному файлу. Имя файла (filename) может

указывать одновременно несколько файлов, если содержит один из спе-

циальных символов Unix, * или ?. Кроме того, если за инструкцией Files

следует необязательный символ " (тильда), имя файла

(filename)

интер-

претируется как регулярное выражение.

С каталогами и файлами легко разобраться, поскольку это знакомые каждо-

му администратору компоненты файловой системы Unix. Понятие докумен-

та характерно уже не для файловой системы, но для веб-сервера. Страница с

информацией, отображаемая в ответ на запрос к веб-серверу, является доку-

ментом: она может состоять из многих файлов, хранящихся в различных ка-

талогах. Контейнер Location позволяет обращаться со сложными докумен-

тами как с единичными сущностями. Ниже в тексте главы мы рассмотрим

примеры использования контейнеров Location и Files. А пока обратимся к

контейнерам Directory.

В настройках Solaris определены контейнеры Directory для корневого ката-

лога сервера и каталога DocumentRoot:

Каждый контейнер Directory начинается с инструкции Directory и заканчи-

вается тегом </Directory>. Каждый из контейнеров содержит операторы на-

стройки, которые относятся только к одному из каталогов. Назначение ин-

струкций в данных контейнерах описано далее в разделе «Безопасность веб-

сервера». На данном этапе достаточно понять, что контейнеры в файле ht-

tpd.conf применяются с целью ограничения области действия различных ин-

струкций настройки.

400

Глава 11. Настройка Apache'

Инструкции Alias и ScriptAlias выполняют отображение URL-пути в имя

каталога на сервере. Так, файл настройки в Solaris содержит следующие три

инструкции:

Alias /icons/ "/var/apache/icons/"

Alias /manuals/ "/usr/apache/htdocs/manual/"

ScriptAlias /cgi-bin/ "/var/apache/cgi-bin/"

Первая строка отображает URL-путь /icons/ в каталог /var/apache/icons/.

Таким образом, запрос www.wrotethebook.com/icons/ является запросом

www.wrotethebook.com/var/apache/icons/. Вторая инструкция отображает

URL-путь /manuals/ в www.wrotethebook.com/usr/apache/htdocs/manual/.

Инструкций Alias, устанавливающих подобные отображения, может быть

сколько угодно, но инструкция ScriptAlias может быть только одна. ScriptAli-

as действует точно так же, как инструкция Alias, с той разницей, что конеч-

ный каталог содержит исполняемые CGI-программы. Следовательно, httpd

разрешает исполнение файлов из данного каталога. Инструкция ScriptAlias

особенно важна потому, что позволяет хранить исполняемые веб-сценарии в

каталоге вне иерархии DocumentRoot. Сценарии CGI- без преувеличений

наиболее уязвимое место вашего сервера; хранение этих сценариев в отдель-

ном каталоге позволяет более жестко разграничивать доступ к ним.

Настройки для Solaris содержат контейнеры каталогов /var/apache/icons и

/var/apache/cgi-bin, но не каталога /usr/apache/htdocs/manual. Упомина-

ние каталога в httpd.conf вовсе не требует создания контейнера Directory для

этого каталога. Контейнеры /var/apache/icons и /var/apache/cgi-bin выгля-

дят следующим образом:

Контейнеры содержат операторы AllowOverride, Options, Order и Allow, ко-

торые относятся к безопасности. Большинство инструкций в контейнерах

файлов, документов и каталогов явно или неявно связаны с вопросами без-

опасности. Все инструкции из приведенных выше контейнеров рассмотрены

далее в этой главе в разделе «Безопасность веб-сервера».

Инструкция UserDir позволяет пользователям создавать домашние страни-

цы и указывает на каталог, в котором они хранятся. UserDir, как правило,

указывает на каталог public_html, что и можно наблюдать в настройках So-

Постигаем файл httpd.conf

401

laris. Такие настройки по умолчанию позволяют пользователю создать под-

каталог public_html в своем домашнем каталоге и поместить в него домаш-

нюю веб-страницу. Например, если поступает запрос по адресу www.wrotet-

hebook.com/~sara, происходит преобразование в адрес www.wrotethebook.com/

export/home/sara/public_html. Кроме того, инструкция UserDir позволяет

указать полное имя - скажем, /export/home/userpages. Администратор сис-

темы создает этот каталог и разрешает пользователям сохранять домашние

веб-страницы в подкаталогах этого каталога. В последнем случае запрос адре-

са www.wrotethebook.com/~sara будет преобразован в запрос адреса www.wro-

tethebook.com/export/home/userpages/sara. Такой подход имеет свои пре-

имущества и недостатки: облегчает наблюдение за содержимым страниц

пользователей, однако требует создания и защиты отдельного дерева веб-ка-

талогов, в то время как веб-каталог в домашнем каталоге пользователя авто-

матически наследует существующие права доступа.

Инструкции PidFile и ScoreBoardFile указывают пути к файлам, определяю-

щим состояния процессов. Параметр PidFile обозначает файл, в котором httpd

хранит свой идентификатор процесса, параметр ScoreBoardFile - файл, в ко-

торый httpd записывает сведения о состоянии процесса.

Параметр Directorylndex определяет имя файла, возвращаемого сервером,

если запрос клиента не содержит имени файла. В нашей системе Solaris дан-

ный параметр определен следующим образом:

Directorylndex index.html

Исходя из значений параметров DocumentRoot и Directorylndex сервер, по-

лучив запрос документа http://www.wrotethebook.com, вернет клиенту файл

/var/apache/htdocs/index.html. Получив запрос документа http://www.wro-

tethebook.com/books/, сервер вернет клиенту файл /var/apache/htdocs/bo-

oks/index.html. Значение DocumentRoot предваряет все имена файлов, a Di-

rectorylndex добавляется к любому запросу, который не заканчивается име-

нем файла.

Ранее в этой главе мы видели из вывода Is для каталога /var/apache/htdocs,

что в каталоге существует файл index.html. Что же произойдет в отсутствие

такого файла? Что Apache передаст клиенту? Если файл index.html не су-

ществует, httpd посылает клиенту список файлов каталога - если это допус-

кается настройками. Передача содержимого каталога разрешена, если инст-

рукция Options в контейнере Directory данного каталога содержит ключевое

слово Indexes. (Более подробно рассмотрим Options позже.) Если разрешено

получение клиентом индекса каталога, форматированием списка содержи-

мого можно управлять с помощью ряда дополнительных инструкций.

Создание красивого индекса

Ключевое слово Fancylndexing в строке инструкции IndexOptions включает

создание «красивого индекса» каталога для случаев, когда сервер Apache

вынужден отправить индекс в ответ на запрос клиента. В случае «красивого»