Хант Крэйг. TCP/IP Сетевое администрирование

Подождите немного. Документ загружается.

402

Глава 11. Настройка Apache

оформления индекса httpd создает список файлов каталога с использованием

графики, ссылок и прочих дополнительных элементов. В настройках для So-

laris создание красивых индексов включено в инструкции IndexOptions, а

файл настройки содержит около 20 вспомогательных строк, выполняющих

настройку собственно вида индекса. Следующие инструкции используются

в Solaris для определения состава графических и прочих элементов красиво-

го индекса каталога:

Indexlgnore

Указывает файлы, которые не следует включать в индекс. Могут указы-

ваться полные имена файлов, неполные имена, расширения, а кроме то-

го, допустимо использование стандартных специальных символов.

HeaderName

Указывает имя файла, содержащего «шапку» индекса каталога.

ReadmeName

Указывает имя файла, содержащего сведения, отображаемые в конце

страницы индекса каталога.

AddlconByEncoding

Указывает пиктограмму для обозначения файлов, представленных опре-

деленным типом MIME-кодировки.

AddlconByType

Указывает пиктограмму для обозначения файлов, представленных опре-

деленным файловым MIME-типом.

Addlcon

Указывает пиктограмму для обозначения файлов, представленных опре-

деленным расширением.

Defaultlcon

Указывает пиктограмму для обозначения файлов, которым не были на-

значены пиктограммы.

Определение файловых типов

Файловые типы MIME и расширения файлов играют важную роль в процес-

се определения способа обработки файла сервером. Сегмент параметров

MIME - важная часть файла httpd.conf, созданного для Solaris. Используют-

ся следующие инструкции:

DefaultType

Определяет MIME-тип, используемый в случаях, когда сервер не может

определить тип файла. В настройках Solaris данный параметр имеет зна-

чение text/plain. Таким образом, если файл не имеет расширения, сервер

предполагает, что это обычный текстовый файл.

Постигаем файл httpd.conf

403

AddEncoding

Связывает кодировку MIME с расширением файла. Настройки Solaris со-

держат две инструкции AddEncoding:

AddEncoding x-compress 2

AddEncoding x-gzip gz tgz

Первая инструкция связывает расширение Z с типом MIME-кодировки

x-compress. Вторая строка связывает расширения gz и tgz с типом MIME-

кодировки x-gzip.

AddLanguage

Связывает MIME-тип языка с расширением файла. Настройки Solaris со-

держат такие отображения для шести языков, например . en для англий-

ского и . f г для французского.

LanguagePriority

Устанавливает приоритет кодировки языка при подготовке многоязыч-

ных представлений (multiviews), а также язык, используемый по умолча-

нию. В настройках Solaris порядок старшинства следующий: английский

(en), французский (f г), немецкий (de). Это означает, что при использова-

нии многоязычных видов будут подготовлены варианты страниц на анг-

лийском, французском и немецком. Если предпочтительный язык не

указан, клиенту передается вариант на английском языке.

AddType

Связывает файловый тип MIME с расширением файла. В файле httpd.conf

Solaris присутствует лишь одна инструкция AddType - она связывает тип

MIME application/x-tar с расширением tgz. Таких инструкций в файле

настройки может быть несколько.

Другая инструкция, часто используемая для обработки файлов на основе их

расширений, - инструкция AddHandler. AddHandler связывает файловый

обработчик с определенным расширением. Файловый обработчик - это про-

грамма, которая «знает», как обрабатывать файлы конкретного типа. На-

пример, обработчик cgi-script способен выполнять файлы CGI. В файле ht-

tpd.conf Solaris отсутствуют какие-либо дополнительные обработчики, по-

этому все инструкции AddHandler закомментированы.

Инструкции настройки производительности

Инструкция KeepAlive позволяет использовать постоянные соединения.

В противном случае клиенту приходится создавать новое соединение с серве-

ром для каждой ссылки, по которой переходит пользователь. Поскольку

HTTP работает поверх TCP, каждое соединение требует дополнительного

времени на создание, что замедляет получение каждого файла. Постоянные

соединения позволяют серверу некоторое время ожидать получения от кли-

ента дополнительных запросов, прежде чем закрыть соединение. Клиенту,

таким образом, не требуются новые соединения для обращения к другим до-

кументам. Инструкция KeepAliveTimeout определяет интервал ожидания

404

Глава 11. Настройка Apache

(в секундах) новых запросов от клиента для уже открытого соединения. В

файле httpd.conf Solaris режим KeepAlive включен, a KeepAliveTimeout

присвоено значение, равное 15 секундам.

MaxKeepAliveRequests определяет максимально допустимое число запро-

сов, полученных через постоянное соединение. В Solaris этот параметр имеет

значение 100, то есть значение по умолчанию для Apache. Присвоение Max-

KeepAliveRequests значения 0 разрешает обрабатывать неограниченное чис-

ло запросов. Значение 100 - разумное для данного параметра: очень немно-

гие пользователи запрашивают 100 документов, а значит, такая настройка

постоянных соединений охватывает все нормальные ситуации. Если же

клиент создал более 100 запросов, не исключено, что причиной тому стали

проблемы в системе клиента, и в таком случае создание нового соединения,

скорее всего, будет удачной идеей.

Инструкция Timeout определяет интервал ожидания сервером завершения

передачи (в секундах). Значение должно быть достаточно большим, чтобы

клиенты успевали получать самые большие файлы сайта через низкопроиз-

водительное модемное соединение. Однако слишком большое значение при-

ведет к тому, что сервер будет поддерживать соединения клиентов, которые

уже отключились от сети. В файле httpd.conf Solaris Timeout имеет весьма

распространенное значение - 5 минут (300 секунд).

BrowserMatch - параметр настройки иного рода: он снижает производитель-

ность в пользу совместимости. Настройки Solaris содержат следующий на-

бор инструкций BrowserMatch:

Операторы BrowserMatch используются для представления информации

способами, понятными различным веб-броузерам. Например, определенный

броузер умеет работать только с протоколом HTTP 1.0, но не HTTP 1.1. В та-

ком случае значение downg rade-1.0 в строке инструкции BrowserMatch позво-

ляет гарантировать, что сервер, работая с этим броузером, использует толь-

ко HTTP 1.0.

В приведенных строках из файла httpd.conf системы Solaris постоянные со-

единения отключены для двух из броузеров. Одному из броузеров предлага-

ется для использования только протокол HTTP 1.0, а для четырех из них

принудительно передаются ответы в формате, совместимом с HTTP 1.0.

Не играйте с инструкциями BrowserMatch. Приведенные настройки явля-

ются стандартными для дистрибутива Apache и позволяют справляться с

ограничениями различных броузеров. Это параметры настройки, но исполь-

зуются они преимущественно разработчиками Apache для адаптации под ог-

раничения устаревших броузеров.

Постигаем файл httpd.conf 405

Инструкция HostnameLookups определяет, должен ли демон httpd регистри-

ровать в журнале обращений имена узлов наряду с адресами IP. Преиму-

щество регистрации имен узлов в том, что журнал получается более удоб-

ным для чтения. Недостаток - дополнительная нагрузка на httpd, связанная

с поиском имен в DNS. Значение off, стандартное для настройки Solaris, по-

вышает производительность сервера. Инструкция HostnameLookups влияет

на состав информации, заносимой в журнал, однако оказывает существен-

ное влияние на производительность системы - почему мы и рассматриваем

ее в разделе, посвященном параметрам настройки производительности, а не

параметрам настройки журнала.

Инструкции настройки журнала

Файлы журналов представляют огромное количество информации о веб-сер-

вере. Следующий набор строк из стандартного файла httpd.conf системы So-

laris 8 определяет конфигурацию журнала:

Команда tail выводит набор строк из конца файла; в данном случае - из фай-

ла /var/log/httpd/apache/error_log. Ключ -1 определяет количество выводи-

мых строк. В данном примере -1

предписывает tail отобразить (одну) по-

следнюю строку файла. Ключ -f предписывает процессу tail продолжать ра-

боту, что позволяет наблюдать записи по мере их добавления в файл. Таким

образом, у нас есть возможность наблюдать за файлом в реальном времени.

Инструкция LogLevel определяет тип событий, регистрируемых в журнале

ошибок. В настройках Solaris LogLevel имеет значение warn, то есть в журнал

попадают предупреждения и все сообщения о более серьезных ошибках. Это

безопасная установка для файла журнала, поскольку позволяет зафиксиро-

вать широкий диапазон ошибок работы сервера. LogLevel имеет восемь воз-

можных значений: debug, info, notice, warn, error, crit, alert и emerg. Уровни

являются накопительными. К примеру, warn регистрирует предупреждения,

ошибки, критически важные сообщения, сигналы тревоги и аварийные со-

общения; debug регистрирует все сообщения, что приводит к очень быстрому

росту объема файла журнала; erne rg сокращает объем файла, но уведомляет

ErrorLog определяет полное имя файла журнала ошибок. Обращайтесь к

журналу ошибок в целях поиска и исправления сбоев. Этот журнал следует

просматривать по меньшей мере раз в сутки на предмет обнаружения проб-

лем. Работая в системе, вы можете непосредственно наблюдать за попадаю-

щей в файл журнала информацией посредством команды tail с ключом -f:

406 Глава 11. Настройка Apache

администратора только о катастрофах, warn - неплохой компромисс для

уровня диагностики.

Помимо важной информации о возникающих ошибках, журналы содержат

сведения о том, кто пользуется сервером, насколько активно и насколько ка-

чественно сервер обслуживает клиентов. Веб-серверы используются для рас-

пространения информации; если информацией никто не пользуется или она

никому не нужна, об этом стоит знать. Инструкции LogFormat и CustomLog

настраивают не журнал ошибок, но способ регистрации активности сервера.

Определение формата файла журнала

Инструкции LogFormat определяют формат записей файла журнала. Ин-

струкция LogFormat содержит два элемента: формат записи файла и метку,

используемую внутри файла httpd.conf для указания на такую запись. Фор-

мат записи заключен в двойные кавычки и непосредственно следует за клю-

чевым словом LogFormat. Формат состоит из постоянных подстрок (литера-

лов) и переменных.

Чтобы понять, как используются переменные, обратимся к примеру ин-

струкции LogFormat. Базовый файл журнала Apache подчиняется формату

CLF (Common Log Format). CLF - это стандарт, используемый всеми разра-

ботчиками веб-серверов. Таким образом, журналы, созданные серверами

Apache, могут обрабатываться любыми инструментами анализа журналов,

понимающими стандарт CLF. Формат стандартной записи CLF четко опреде-

лен второй инструкцией LogFormat из файла httpd.conf Solaris:

Данная инструкция LogFormat указывает только те сведения, которые тре-

буются для записи журнала CLF. С этой целью используется набор из семи

переменных LogFormat:

Регистрирует IP-адрес клиента. При включенном параметре Hostname-

Lookups регистрируется абсолютное имя узла клиента. Для нашей систе-

мы Solaris это будет IP-адрес клиента, поскольку HostnameLookups за-

блокированы с целью повышения производительности сервера.

Регистрирует имя, под которым зарегистрировался клиент, если таковое

доступно. Имя извлекается по протоколу identd; однако большинство

клиентов не используют identd и не предоставляют сведения такого рода.

Как следствие, данное поле обычно содержит дефис, обозначающий от-

сутствие значения. Точно так же, если сервер не способен определить зна-

чение для поля, журнал содержит дефис в этом поле.

Регистрирует имя пользователя, использованное для доступа к веб-стра-

нице, защищенной паролем. Имя должно совпадать с именем, определен-

ным в файле сервера AuthUser или базе данных AuthDBMUser. (Auth-

Постигаем файл httpd.conf

407

Данный формат работает для всех заголовков: достаточно заменить User-

agent другим названием (заголовка). Буква i указывает, что речь идет о по-

лученном заголовке (input header); отправленные заголовки (output headers)

фиксируются по букве о. Сервер Apache способен регистрировать содержи-

мое любых заголовков, полученных или отправленных.

Вторая инструкция LogFormat фиксирует содержимое заголовка Referer, по-

лученного от клиента (%{Referer}i), символы дефиса и знака «больше» (->),

а также URL-адрес, на который поступил запрос

(%U).

Referer - это имя внеш-

него сайта, который перенаправил клиента на ваш веб-сайт; %U - документ,

к которому этот сайт направил клиента.

Все эти инструкции регистрируют содержимое HTTP-заголовков. Так, пер-

вая инструкция регистрирует значение, полученное от клиента в заголовке

User-agent. User-agent - это программа пользователя, генерирующая запрос

на документ; как правило, речь идет о названии броузера. Строка формата,

позволяющая зафиксировать в журнале содержимое такого заголовка:

Фиксирует число байтов в документе, который был отправлен клиенту.

Записи журнала Apache не ограничены форматом CLF. Инструкция LogFor-

mat позволяет указать, какую информацию следует фиксировать в журнале.

Диапазон таких сведений достаточно широк.

Файл httpd.conf Solaris содержит три дополнительных инструкции LogFor-

mat, демонстрирующих варианты форматов журнальных записей. Вот эти

инструкции:

Регистрирует состояние последнего запроса. Состояние - это код ответ

сервера клиенту, состоящий из трех цифр.

Регистрирует первую строку запроса клиента. Часто она содержит URL-

идентификатор запрошенного документа. Символы \" в инструкции Log-

Format показывают, что вывод должен содержать символ двойной кавыч-

ки. В результате в файле журнала запрос клиента будет заключен в двой-

ные кавычки.

Регистрирует дату и время создания записи журнала.

User и AuthDBMUser рассмотрены в разделе «Безопасность веб-сервера»

далее в этой главе.) Парольная защита используется не так уж часто,

и данное поле в большинстве записей журнала содержит дефис.

408

Глава 11. Настройка Apache

Последняя инструкция LogFormat начинается с переменных CLF (%h %1 %u %t

\"%г\" %>s %b \") и дополнительно содержит значения из заголовков Referer и

User-agent.

Данному формату присвоена метка

combined,

поскольку он сочета-

ет CLF с прочими сведениями; два предшествующих формата разумно отме-

чены как agent и

referer.

Однако ни один из этих форматов наделе не исполь-

зуется в настройках Solaris. Наличия инструкции LogFormat недостаточно

для создания файла журнала: следует добавить соответствующую инструк-

цию CustomLog, которая свяжет формат с файлом. Как это сделать, будет

рассказано ниже.

В инструкции LogFormat спецификация формата записи журнала заключа-

ется в двойные кавычки. Метка, следующая за спецификацией, не является

частью формата. В инструкции LogFormat, определяющей формат CLF, мет-

ка common - это произвольная строка, связывающая данную инструкцию Log-

Format с определенной инструкцией CustomLog. В файле httpd.conf Solaris

данная конкретная инструкция LogFormat связывается с файлом /var/apac-

he/logs/access_log при помощи следующей строки:

CustomLog /var/apache/logs/access_log common

Две инструкции связываются благодаря общей метке - common. В результате

записи CLF, определенные данной конкретной инструкцией LogFormat, за-

писываются в файл, определенный в указанной инструкции CustomLog.

В настройках Solaris прочие инструкции CustomLog (создающие файлы

журналов для записей

agent,

referer и combined) закомментированы:

#CustomLog /var/apache/logs/referer_log referer

#CustomLog /var/apache/logs/agent_log agent

#CustomLog /var/apache/logs/access_log combined

Файл referer log хранит URL-адреса страниц, с которых произошел переход

на ваш веб-сервер. Это позволяет определить, какие сайты указывают на ва-

ши веб-страницы. Записи в referer_ log имеют следующий формат:

LogFormat "%{Referer}i -> %U" referer

Чтобы создать журнал, раскомментируйте следующую строку:

CustomLog /var/apache/logs/referer_log referer

Файл agent_log фиксирует, какие броузеры используются для доступа к ва-

шему сайту, и формат его записей определяется следующим оператором

LogFormat:

LogFormat "%{User-agent}i" agent

Чтобы создать журнал, раскомментируйте следующую строку:

CustomLog /var/apache/logs/agent_log agent

Наконец, формат расширенного CLF-журнала определен строкой:

LogFormat "%h %1 %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined

Постигаем файл httpd.conf

409

Чтобы создать комбинированный журнал, раскомментируйте следующую

строку:

CustomLog /var/apache/logs/access_log combined

и закомментируйте эту:

#CustomLog /var/apache/logs/access_log common

В результате этих изменений для создания файла журнала /var/apache/

logs/access_log будет использоваться формат combined. Именно для этого

файла журнала по умолчанию используется формат

common.

Чтобы избежать

дублирования записей, выключите регистрацию common, если включили ре-

гистрацию combined. По существу, эти изменения переключают формат

файла access_log с common на combined.

Оператор LogFormat и соответствующий ему оператор CustomLog заканчи-

ваются одной и той же меткой. Метка - это произвольное имя, связывающее

формат и файл журнала.

Регистрация по условию

Apache также поддерживает занесение сведений в журнал по условию, поз-

воляя указать поля, значения которых фиксируются, только когда сервер

возвращает клиенту определенный код состояния. Коды состояний перечис-

лены в табл.11.2.

Таблица 11.2. Коды состояний сервера Apache

Код состояния Значение

200: ОК Корректный запрос

302:Found Документ не найден

304: Not Modified Указанный документ не был изменен

400: Bad Request

Некорректный запрос

401: Unauthorized

Клиенту или пользователю отказано в доступе

403: Forbidden

Недостаточно полномочий для доступа

404: Not Found

Указанный документ не существует

500 Server Error Неустановленная ошибка в работе сервера

503: Out of Resources

(Service Unavailable)

Недостаточно серверных ресурсов для выполнения запроса

501: Not Implemented Отсутствует функциональность, Необходимая для обработ-

ки запроса

502: Bad Gateway Клиент указал некорректный шлюз

Чтобы поставить поле в зависимость от условия, добавьте один или несколько

кодов состояний в спецификацию поля в инструкции LogFormat. Если ис-

410

Глава 11. Настройка Apache

пользуется список, разделяйте коды состояний запятыми. Предположим, не-

обходимо записывать название броузера только в том случае, если броузер за-

прашивает службу, не реализуемую сервером. Используйте код состояния Not

Implemented (501) в сочетании с заголовком User-agent следующим образом:

%501{User-agent}i

Если такое значение присутствует в операторе LogFormat, название броузе-

ра записывается в журнал только для кода состояния 501.

Восклицательный знак перед кодом (или кодами) состояния предписывает

регистрировать поле только в случае, когда действительный код состояния

не равен одному из перечисленных значений. К примеру, чтобы фиксиро-

вать адрес сайта, с которого пользователь пришел на вашу веб-страницу,

только в случаях, когда код состояния сигнализирует об ошибке, добавьте

следующий фрагмент в спецификацию LogFormat:

%!200,302,304{Referer}i

Данная конкретная условная запись журнала весьма полезна, поскольку

позволяет определить, что на внешней странице существует некорректная

ссылка на ваш веб-сайт.

Используйте эти возможности совместно с форматом common для создания бо-

лее содержательных записей журнала. Вот так мы изменили формат Solaris

combined,

включив в него регистрацию по условию:

LogFormat "%h %1 %u %t \"%r\" %>s %b \"%!200,302

304{Referer}i\" \"%{User-Agent}i\"

" combined

Данный формат предписывает фиксировать все данные CLF, так что полу-

ченные записи журнала поддаются анализу при помощи стандартных инст-

рументов. При этом дополнительно записи содержат имя броузера и, в слу-

чаях обращения по устаревшим ссылкам, позволяют определить, какой из

внешних сайтов распространяет неверную информацию.

Файл настройки сервера Apache в Solaris содержит более 160 активных

строк, но при этом есть ряд интересных возможностей Apache, которые в на-

стройках Solaris не используются. Прежде чем мы перейдем к важным по-

вседневным вопросам обеспечения безопасности сервера и наблюдения за ра-

ботой сервера, проведем краткий обзор трех возможностей, не включенных

в стандартную настройку Solaris: прокси-серверы и кэширование, настрой-

ки многосетевых серверов, виртуальные узлы.

Прокси-серверы и кэширование

Серверы, действующие в качестве промежуточных звеньев между клиента-

ми и веб-серверами, называются прокси-серверами {proxy servers, посредни-

ки). При использовании брандмауэра прямой веб-доступ часто блокируется.

В этом случае пользователи подключаются к прокси-серверу по локальной

сети, тогда как прокси-сервер обладает полномочиями для подключения к

Постигаем файл httpd.conf

411

удаленному веб-серверу. Прокси-серверы могут хранить копии веб-страниц

с удаленных веб-серверов в целях повышения производительности, сокра-

щения объема трафика в территориальной сети и уменьшения нагрузки на

популярные веб-сайты. Вот параметры, управляющие подсистемой кэширо-

вания:

CacheNegotiatedDocs

Разрешает прокси-серверам кэшировать веб-страницы с вашего сервера.

По умолчанию Apache сообщает прокси-серверам, что страницы с вашего

веб-сервера кэшировать нежелательно. Данная инструкция используется

без аргументов.

ProxyRequests

Данный параметр позволяет превратить сервер в прокси-сервер. По умол-

чанию имеет значение off (выключено).

ProxyVia

Разрешает или запрещает использование заголовков Via:, которые позво-

ляют определять действительный источник кэшированных страниц.

CacheRoot

Указывает путь к каталогу, в котором хранятся каптированные веб-стра-

ницы, если данный сервер является прокси-сервером. Чтобы избежать

возможности записи в этот каталог пользователем nobody, создайте спе-

циальный идентификатор пользователя, если httpd используется в ка-

честве прокси-сервера.

CacheSize

Устанавливает максимальный размер кэша. По умолчанию - 5 Кбайт.

CacheGcInterval

Устанавливает интервал для усечения кэша (в часах). По умолчанию - 4.

Если значения по умолчанию не менялись, сервер будет сокращать объем

хранимой информации до 5 Кбайт каждые 4 часа.

CacheMaxExpire

Устанавливает максимальное время хранения документа без запроса об-

новления с удаленного сервера (в часах). По умолчанию документы хра-

нятся 24 часа. Это означает, что кэшированный документ может иметь

давность до суток.

CacheLastModifiedFactor

Устанавливает длительность кэширования документа на основе даты по-

следнего изменения. Коэффициент по умолчанию - 0,1. Так, если доку-

мент был изменен 10 часов назад, он хранится в кэше только один час,

прежде чем копия обновляется. Предполагается, что если документ изме-

няется часто, последнее изменение было внесено не так давно; поэтому

документы, изменяемые часто, кэшируются на непродолжительные пе-

риоды времени. В любом случае ни один документ не хранится дольше,

чем указано значением CacheMaxExpire.