Dotaz: Apache + userdir - chyba prav

[Ku8aZ]

Zdravim,

chtel bych si nastavit Apache (2.0.50) tak, abych mohl mit urcity userdir, ve kterem by kazdy uzivatel mohl mit vlastni webove stranky. V konfiguraku mam userdir povoleno, je nastavene na public_html a stale mi to nefunguje. Kdyz dam http://localhost/~radek/soubor... tak mi to vypise chybu, ze nema prava k pristupu k souboru a jeste navic nemohl najit ani chybove hlaseni.

Nesetkali jste se s tim nekdo?

Prikladam konfiguraci z commonapache2.conf

< IfModule mod_userdir.c >
    UserDir public_html
    UserDir enabled *
    UserDir disabled root www
< /IfModule >

Toto je chyba, kterou vidim po pokusu o pristup k souboru v userdir.

Forbidden

You don't have permission to access /~radek/tut33_headers.php on this server.

Additionally, a 403 Forbidden error was encountered while \\
   trying to use an ErrorDocument to handle the request.

Apache/2.0.50 Server at tux.avalonnet Port 80

Distro Gentoo

Predem diky za pomoc a preji pekny den

Odpovědi

[unchallenger]

No a má apache práva ten soubor číst? Tj. právo r na něj a právo x na všechny adresáře nad ním.

[Ku8aZ]

Toto uz me take napadlo, ale v tom pripade zase nebude mit pravo zapisu do toho souboru uzivatel. Nebo staci, kdyz ten soubor bude mit prava skupiny apache a uzivatele nebo uzivatele apache a skupiny users?

[unchallenger]

Normálně se to řeší tak, že se uvedená práva dají pro ,other`, tj. pro všechny.

[Ku8aZ]

A neni to tak trosku bezpecnostni dira, kdybych chtel dat serveru prava zapisu?? Prece jen by mi tam mohl zapisovat potom kazdy, kdo by se tam nahodou dostal...

Teda aspon si to myslim

[unchallenger]

Píšu normálně, a normálně www server uživatelům do adresářů nezapisuje...

[Ku8aZ]

To je fakt Ona je to stejne jen zkusebni instalace, ale naostro bych to asi moc neriskoval

[Ku8aZ]

Tak prava jsem zkusil zmenit pomoci chown -R apache public_html a chgrp -R apache public_html (dokonce i jednotlive) a vysledek je stale stejny. Ja uz nevim, to vypada, jako by to ten server hledal nekde uplne jinde

[unchallenger]

Něco ve stylu

<Directory /home/*/public_html>
Order allow, deny
Allow from all
</Directory>

máš?

[Ku8aZ]

presne tam mam tohle (defaultni nastaveni):

###
### These settings are pretty flexible, and allow for Frontpage and XSSI
###
< Directory /home/*/public_html >
    AllowOverride All
    Options MultiViews Indexes Includes FollowSymLinks
    < IfModule mod_access.c >
      Order allow,deny
      Allow from all
    < /IfModule >
< /Directory >

< Directory /home/*/public_html/cgi-bin >
     Options +ExecCGI -Includes -Indexes
     SetHandler cgi-script
< /Directory >

< IfModule mod_perl.c >
    < Directory /home/*/public_html/perl >
        SetHandler perl-script
        PerlResponseHandler ModPerl::PerlRun
        Options -Indexes ExecCGI
        < IfDefine MODPERL2 >
          PerlOptions +ParseHeaders
        < /IfDefine >
        < IfDefine !MODPERL2 >
          PerlSendHeader On
        < /IfDefine >
    < /Directory >
< /IfModule >

Ale divim se, ze mi nechodi ani ty chybova hlaseni, protoze ty mam nastavene (aspon si to myslim ) dobre. Je to defaultni nastaveni, pouze prepsana cesta z /var/lib/www na /home/www (samozrejme, ze tam root path ukazuje, zkusebni stranka mi chodi ):

    < Directory "/home/www/error" >
        AllowOverride None
        Options IncludesNoExec
        AddOutputFilter Includes html
        AddHandler type-map var
        Order allow,deny
        Allow from all
        LanguagePriority cs en es de fr sv
        ForceLanguagePriority Prefer Fallback
    < /Directory >

    ErrorDocument 400 /error/HTTP_BAD_REQUEST.html.var
    ErrorDocument 401 /error/HTTP_UNAUTHORIZED.html.var
    ErrorDocument 403 /error/HTTP_FORBIDDEN.html.var
    ErrorDocument 404 /error/HTTP_NOT_FOUND.html.var
    ErrorDocument 405 /error/HTTP_METHOD_NOT_ALLOWED.html.var
    ErrorDocument 408 /error/HTTP_REQUEST_TIME_OUT.html.var
    ErrorDocument 410 /error/HTTP_GONE.html.var
    ErrorDocument 411 /error/HTTP_LENGTH_REQUIRED.html.var
    ErrorDocument 412 /error/HTTP_PRECONDITION_FAILED.html.var
    ErrorDocument 413 /error/HTTP_REQUEST_ENTITY_TOO_LARGE.html.var
    ErrorDocument 415 /error/HTTP_SERVICE_UNAVAILABLE.html.var
    ErrorDocument 500 /error/HTTP_INTERNAL_SERVER_ERROR.html.var
    ErrorDocument 501 /error/HTTP_NOT_IMPLEMENTED.html.var
    ErrorDocument 502 /error/HTTP_BAD_GATEWAY.html.var
    ErrorDocument 503 /error/HTTP_SERVICE_UNAVAILABLE.html.var
    ErrorDocument 506 /error/HTTP_VARIANT_ALSO_VARIES.html.var

Uz jsem z toho jelen

[jm]

Je ten mod_access povoleny a natazeny?

[Ku8aZ]

Rozhodne si myslim, ze je, protoze by mi pak jinak nechodila ani zkusebni stranka. Moduly jsou povolene a natazene vsechny, co jsou v def. instalaci.

[jm]

Myslet znamena houby vedet. A mod_userdir?

[Ku8aZ]

Pravda, pravda. Ale taky je:

Module Name: mod_userdir.c
Content handlers: none
Configuration Phase Participation: Create Server Config
Request Phase Participation: Translate Path
Module Directives:
    UserDir - the public subdirectory in users' home directories, or 'disabled', or 'disabled username username...', or 'enabled username username...'
Current Configuration:
    UserDir public_html
    UserDir enabled *
    UserDir disabled root www

[unchallenger]

Natažené moduly zjistíš např. pomoci mod_info -- pokud tedy ten natáhneš a povolíš ;)

Ještě kontrolní otázka: pod jakým UID jede apache?

Hlášky v logu jsou taky obvykle popisnější než to, co vrátí uživateli namísto stránky...

[unchallenger]

Taky pozdě :-D

[Ku8aZ]

mod_info? A jak se to pouziva?

Apache ma UID

apache:x:81:81:apache:/home/httpd:/bin/false

(ted jsem si tam vsimnul toho /home/httpd ... to tam sakra vubec nemam GID ma taky 81.

Hlasky z logu mi toho rekly jeste min

[Sat Aug 14 13:56:05 2004] [error] [client 127.0.0.1] (13)Permission denied: access to
/~radek/tut33_headers.php denied

[Ku8aZ]

Vypis ze server-info:

Module Name: mod_access.c
Content handlers: none
Configuration Phase Participation: Create Directory Config
Request Phase Participation: Check Access
Module Directives:
    order - 'allow,deny', 'deny,allow', or 'mutual-failure'
    allow - 'from' followed by hostnames or IP-address wildcards
    deny - 'from' followed by hostnames or IP-address wildcards
Current Configuration:
...
    < Directory / >
      Order deny,allow
      Deny from all
    < /Directory >
...
    < Directory "/home/www/error" >
      Order allow,deny
      Allow from all
    < /Directory >
...
    < Directory /home/www/htdocs >
      Order allow,deny
      Allow from all
    < /Directory >
...
    < Directory /home/*/public_html >
      Order allow,deny
      Allow from all
    < /Directory >
...

Ach jo, vsechno musim oddelit mezerou...XML a toto forum se moc rady nemaji

[jm]

V pravech to neni, ten soubor muze patrit beznemu uzivateli a musi to fungovat. Mate tam neco v tomhle smyslu?

<Directory /home/*/public_html>
    AllowOverride All
    Options MultiViews -Indexes Includes FollowSymLinks
    <IfModule mod_access.c>
      Order allow,deny
      Allow from all
    </IfModule>
</Directory>

[jm]

Hmm, pozde.

[jm]

Ma adresar /home/uzivatel alespon prava 711 a /home/uzivatel/public_html prava 755 a ty soubory 644?

[Ku8aZ]

Ted jsem chtel vykriknout neco o mem aktualnim stavu strevni mikroflory, ale radsi si to necham pro sebe

BINGO Ach jo, proc takove problemy maji to nejstupidnejsi reseni??

[jm]

No jo, to zas byl porod.

P.S. Myslim, ze by to v tom komentovanem konfiguraku meli ponekud zduraznit. Urcite by to spouste lidi usetrilo cas.

[Ku8aZ]

To teda byl, ale diky moc

Zdurazneni by asi nebylo na skodu, ale co, kdyz neco clovek nevi, staci se zeptat

[unchallenger]

Hlavně, že jsem se na to ptal jako hned na začátku... ale asi málo jasně <sigh>

[jm]

[thonda]

Me pomohlo az zadani tohohle prikazu:
chcon -R -t httpd_sys_content_t public_html