Linux RHCE - Serwer WWW - Apache Web Server

Apache jest najbardziej popularnym i najszerzej stosowanym serwerem WWW w internecie. Dostępny jest dla wielu systemów operacyjnych takich jak UNIX, LINUX, Microsoft Windows, BSD, OS X oraz pojawia się jako składnik wielu pakietów oferujących wraz z nim dodatkowe oprogramowanie PHP czy baz danych np.: XAMPP, LAMP, WAMP itp. Strona domowa projektu http://httpd.apache.org/. Głównymi cechami serwera są wielowątkowość, skalowalność, bezpieczeństwo, kontrola dostępu, CGI, proxy, obsługa modułów w tym mod_ssl. Pierwsza wersja pojawiła się oficjalnie w kwietniu 1995 roku. Na chwilę obecną najnowsze wydania serwera posiadają już graficzny interfejs konfiguracyjny parsujący ustawienia do pliku httpd.conf. 

INSTALACJA SERWERA APACHE 

Krok 3 - Ustawienie uruchamiania usług wraz z systemem operacyjnym 

# chkconfig httpd on

Krok 4 - Sprawdzenie wprowadzonych zmian 

Po instalacji odpowiednich pakietów możemy skierować uwagę na odpowiednie pliki konfiguracyjne i ich lokalizację. Podczas instalacji został utworzony katalog /var/www i jest to miejsce w którym umieszczamy pliki stron WWW. Istnieje również kilka plików konfiguracyjnych takich jak :

/etc/httpd/conf/httpd.conf          Główny plik konfiguracyjny 

/var/log/httpd                                      Logi serwera www

/usr/lib64/httpd/modules                 Moduły dla serwera Apache

Po instalacji serwera jego konfiguracja znajdująca się w głównym pliku konfiguracyjnym nadaje się od razu do zastosowania. Warto jednak zapoznać się z opcjami jakie mamy dostępne i jakie możemy skonfigurować ponieważ jest ich dość sporo i wszystkie zostały dobrze udokumentowane. Informacje w pliku pogrupowane są w sekcje. 

Podstawowe globalne opcje konfiguracyjne : 

ServerRoot          - Miejsce przechowywania plików konfiguracyjnych 

Timeout                - Okres czasu pomiędzy zapytaniami po jakimi przerywane jest połączenie 

Listen                    - Numer portu nasłuchu 

User                      - Użytkownik z jakiego uruchamiana jest usługa serwera www

Group                    - Grupa z jakiej uruchamiany jest serwer www

LoadModule           - Definicja modułów ładowanych wraz ze startem serwera www

Podstawowe opcje dla serwera www

DocumentRoot       - Lokalizacja plików stron WWW 

ServerName           - Definicja nazwy serwera, adresu IP i numeru portu 

Zacznijmy od konfiguracji związanych z lokalizacją plików stron WWW. Domyślnie jest to /var/www/html ale jeżeli zachodzi taka potrzeba możemy to zmienić.

W głównym pliku konfiguracyjny możemy znaleźć również sekcję nazwaną "Directory" : 

Określone tu parametry wskazują na to w jakiej lokalizacji będą znajdowały się pliki stron, ale jeżeli chcemy zmienić lokalizację w jakiej mają znajdować się pliki stron www musi dokonać tego w : 

DocumentRoot "/var/www/html"

# service httpd configtest

httpd: Could not reliably determine the server's fully qualified domain name, using RHEL01.example.com for ServerName

Syntax OK

Powyższy błąd dotyczy nieustawionej nazwy serwera zgodniej z hostem na jakim serwer się znajduję i po od komentowaniu odpowiedniej opcji i podaniu sugerowanej nazwy serwera błąd został usunięty. 

Jeżeli chcemy wykonać restart serwera stosujemy polecenie : 

Możemy również przeładować pliki konfiguracyjne serwera bez restartu całej usługi przy pomocy : 

# service httpd reload

Istnieje jeszcze jedna opcja umożliwiająca restart serwera pozwalająca wczytać nowe pliki konfiguracyjne ale bez rozłączanie ani jednego klienta aktualnie korzystającego z www. 

# service httpd graceful

Krok 1 - Dodanie odpowiednich reguł zapory iptables 

iptables -I INPUT 5 -p tcp -m tcp --dport 80 -j ACCEPT

Krok 2 - Zapisanie ustawień iptables 

Krok 3 - Restart usługi zapory systemowej 

httpd_can_network_relay - Umożliwia httpd działanie jako przekaźnik

htttp_can_network_connect_db - Zezwala httpd na łączenie się skryptów i modułów z bazą danych.

httpd_use_gpg - Zezwala httpd na włączenie gpg w domenie gpg-web

httpd_enable_cgi - Zezwala na wsparcie dla CGI

httpd_use_cifs - Zezwala by httpd miał dostęp do CIFS

allow_httpd_mon_auth_pam - Zezwala na użycie mod_auth_pam

allow_httpd_anon_write - Zezwala na modyfikacje plików publicznych

httpd_enable_homedirs - Umożliwia czytanie katalogów domowych

allow_httpd_sys_scripts_anon_write - Zezwala skryptom apache modyfikować zawartość publicznego katalogu katalog musi mieć kontekst public_rw_content_t

httpd_dbus_avahi - Umożliwia komunikacje z usługa avahi

httpd_unified - Ujednolicenie uchwytów do zawartości wszystkich plików

httpd_can_network_connect - Umożliwia skryptom i modułom httpd na łączenie z siecią przez TCP

allow_httpd_mod_auth_ntlm_winbind - Umożliwia stosowanie mod_auth_pam

httpd_tty_comm - Ujednolicona komunikacja z terminalem.

httpd_read_user_content - Zezwala na dostęp do plików użytkowników

httpd_use_nfs - Dostęp do NFS systemu plików

httpd_tmp_exec - Dostęp do plików w katalogu /tmp

httpd_execmem - Zezwala na dodanie modułów /execmem i /execstak

httpd_can_sendmail - Pozwala usłudze httpd wysyłać wiadomości email

httpd_builtin_scripting - Umożliwia usłudze httpd korzystać ze skryptów zazwyczaj PHP

httpd_can_check_spam - Sprawdzanie spamu przez httpd

httpd_can_network_connect_cobbler - Pozwala by skrypty i moduły miały połączenie z siecią cobbler

httpd_ssi_exec - Umożliwia httpd uruchamianie SSI w tej samej domenie co skrypty CGI

httpd_enable_ftp_server - Umożliwia httpd dostęp do serwera FTP i wy listowanie plików przez port FTP

httpd_setrlimit - Pozwala usłudze httpd zmieniać limity systemowe.


Krok 1 - Utworzenie katalogów dla klientów :

# mkdir /var/www/strona1
# mkdir /var/www/strona2

Krok 2 - Sprawdzenie jakie aktualnie konteksty mamy dla plików :


# ls -Z /var/www/
drwxr-xr-x. root root system_u:object_r:httpd_sys_script_exec_t:s0 cgi-bin
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 error
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 html
drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 icons
drwxr-xr-x. root root unconfined_u:object_r:httpd_sys_content_t:s0 strona1
drwxr-xr-x. root root unconfined_u:object_r:httpd_sys_content_t:s0 strona2

Trzeba zmienić konteksty dla katalogów klientów na zgodne z domyślnymi dla stron www ( lokalizacja html)

Krok 3 - Używając polecenia chcon zmieniamy kontekst dla użytkownika domeny


# chcon -Rvu system_u /var/www/strona1
changing security context of `/var/www/strona1'

• /var/log/httpd/access_log          Log wszystkich dostępów do serwera 
• /var/log/httpd/error_log            Informację o błędach z serwerem 

ELINKS


Krok 1 - Instalacja wymaganych pakietów

# yum install -y elinks
<Directory "/var/www/html">
    Options Indexes FollowSymLinks
    AllowOverride None
    Order allow,deny
    Allow from 192.168.56.102
    AuthType Basic
    AuthName "Zabezpieczona strona nie dla Ciebie"
    AuthUserFile /etc/httpd/userfile
    Require user user01

</Directory>

Krok 2 - Utworzenie pliku userfile 

# htpasswd -cm /etc/httpd/userfile user01
New password:
Re-type new password:
Adding password for user user01

Teraz można sprawdzić działanie w przeglądarce :

http://192.168.56.101/~user01/

Pamiętajmy o użyciu znaku ~ przed nazwą użytkownika.



Sprawdźmy co takiego możemy skonfigurować w tym pliku :

# grep -v ^# /etc/httpd/conf.d/ssl.conf

LoadModule ssl_module modules/mod_ssl.so

Listen 443

SSLPassPhraseDialog  builtin
SSLSessionCache         shmcb:/var/cache/mod_ssl/scache(512000)
SSLSessionCacheTimeout  300
SSLMutex default
SSLRandomSeed startup file:/dev/urandom  256
SSLRandomSeed connect builtin
SSLCryptoDevice builtin
<VirtualHost _default_:443>
ErrorLog logs/ssl_error_log
TransferLog logs/ssl_access_log
LogLevel warn
SSLEngine on
SSLProtocol all -SSLv2
SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM:+LOW
SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
<Files ~ "\.(cgi|shtml|phtml|php3?)$">
    SSLOptions +StdEnvVars
</Files>
<Directory "/var/www/cgi-bin">
    SSLOptions +StdEnvVars
</Directory>
SetEnvIf User-Agent ".*MSIE.*" \
         nokeepalive ssl-unclean-shutdown \
         downgrade-1.0 force-response-1.0
CustomLog logs/ssl_request_log \
          "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
</VirtualHost>

Najważniejszymi opcjami jakie są w tym pliku są : Listen oraz parametry zdefiniowane pomiędzy znacznikami <VirtualHost _default_:443></VirtualHost>.

Domyślnie bezpieczne strony umieszcza się na wirtualnych hostach ( co jest bardzo dobre bo mogą działać niezależnie od istniejących stron)

Należy również zwrócić uwagę na dwie opcję :

SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateKeyFile /etc/pki/tls/private/localhost.key




Krok 1 - Utworzenie reguł zapory iptables

# iptables -I INPUT 5 -p tcp -m tcp --dport 443 -j ACCEPT
# iptables -I INPUT 5 -p tcp -m tcp --dport 80 -j ACCEPT   
      (jeżeli nie otworzono go wcześniej)

Krok 2 - Zapisanie ustawień iptables

# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]
[root@RHEL01 ~]# service iptables restart
iptables: Flushing firewall rules:                         [ OK ]
iptables: Setting chains to policy ACCEPT: filter          [ OK ]
iptables: Unloading modules:                               [ OK ]
iptables: Applying firewall rules:                         [ OK ]

O odpowiedni kontekst możemy zadbać odwołując się referencyjnie poleceniem chcon :

chcon --reference /var/www/html/ /StronyWWW/


Utworzenie pliku .userfile 


# htpasswd -cm /Stronywww/.userfile user01
New password:
Re-type new password:
Adding password for user user01


Krok 1 - Tworzymy katalog dla własnej aplikacji 

# mkdir /var/www/moje-cgi 

Krok 2 - Ustawiamy właściwy kontekst 

# chcon --reference /var/www/cgi-bin /var/www/moje-cgi

Krok 3 - Tworzymy aplikację i umieszczamy ją w katalogu /var/www/moje-cgi

# vim /var/www/moje-cgi/app.pl 

w pliku app.pl wpisujemy :


#!/usr/bin/perl

print "Content-type: text/html\n\n";

print "Hello, world!\n";