abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 12:00 | Nová verze

Byla vydána nová vývojová verze datového formátu a souvisejících nástrojů Relational pipes. Hlavní novinkou verze v0.16 je použití abstraktní vrstvy ODBC, díky které lze pracovat s libovolným DBMS, např. PostgreSQL nebo MySQL či MariaDB (dříve šlo SQL transformace provádět jen v SQLite). Dále v této verzi přibyl vstupní modul pro audio systém JACK, skrze který lze přijímat MIDI zprávy.

xkucf03 | Komentářů: 0
dnes 00:55 | Zajímavý článek

Alyssa Rosenzweig v příspěvku na blogu společnosti Collabora informuje o novinkách ve vývoji open source ovladačů pro GPU Mali. Na GPU Mali-G31 bez binárního blobu již běží Wayland kompozitory včetně GNOME 3, hra Neverball nebo akcelerace videa v přehrávačích mpv a Kodi.

Ladislav Hagara | Komentářů: 0
včera 23:33 | Zajímavý článek

Nová čísla časopisů od nakladatelství Raspberry Pi: MagPi 94 (pdf), HackSpace 31 (pdf) a Wireframe 39 (pdf).

Ladislav Hagara | Komentářů: 0
včera 23:22 | Zajímavý software

Streamhut umožňuje streamování práce v terminálu na web bez nutnosti cokoli instalovat. Zdrojové kódy služby jsou k dispozici na GitHubu pod licencí Apache.

Ladislav Hagara | Komentářů: 0
včera 02:00 | Nová verze

Turris OS, operační systém pro síťová zařízení Turris, byl vydán v nové major verzi 5.0. Vychází z OpenWrt 19.07.3. Podrobnosti na GitLabu.

Ladislav Hagara | Komentářů: 0
včera 01:00 | Nová verze

Byla vydána verze 1.44.0 programovacího jazyka Rust (Wikipedie). Podrobnosti v poznámkách k vydání. Vyzkoušet Rust lze například na stránce Rust by Example.

Ladislav Hagara | Komentářů: 0
4.6. 17:00 | Bezpečnostní upozornění

Nedávno byla vydána nová verze 9.4.6 nástroje pro řízení a správu IT zařízení a služeb GLPI (Wikipedie). Opraveno bylo několik bezpečnostních chyb. Například také SQL injection CVE-2020-11032 aneb email z ';-- Have I Been Pwned? dokáže smazat celý ticket systém.

Ladislav Hagara | Komentářů: 0
4.6. 13:00 | Zajímavý článek

MojeFedora.cz informuje, že Firefox 77 pro Fedoru přináší akceleraci videa. Firefox 77 pro Fedoru obsahuje patche, které konečně přináší podporu pro VA-API, tedy hardwarovou akceleraci videa. Podpora pro VA-API momentálně funguje pouze na Waylandu.

Ladislav Hagara | Komentářů: 4
4.6. 12:00 | Pozvánky

Sdružení CESNET dnes opět po roce pořádá jednodenní seminář věnovaný internetovému protokolu IPv6. Tentokrát on-line a s názvem Svět bez IPv4. K dispozici jsou také prezentace a záznamy přednášek z loňského roku.

Ladislav Hagara | Komentářů: 0
4.6. 08:00 | Nová verze

Byla vydána nová stabilní verze 2.83 svobodného 3D softwaru Blender. Přehled novinek v oznámení o vydání a na YouTube. Jedná se o první verzi Blenderu s prodlouženou dvouletou podporou (LTS).

Ladislav Hagara | Komentářů: 5
Používáte některé open-source řešení [protokol] pro šifrovaný instant messaging?
 (33%)
 (19%)
 (5%)
 (12%)
 (14%)
 (5%)
 (13%)
 (24%)
Celkem 85 hlasů
 Komentářů: 7, poslední dnes 01:39
Rozcestník

Server - Díl druhý - Software: Apache - EDIT

11.1.2007 20:25 | Přečteno: 2862× | Nápady | poslední úprava: 16.1.2007 19:40

Takže je tady druhý díl o mém snažení, jež má za cíl vytvoření fungujícího a celkově prostě pěkného hostingu. Dnes se budu zabývat konfigurací Apache, protože potřebuju taky vyřešit jeden problém s ním související ;)

Ukončení - pro ty, co nechtějí číst až do konce:

Po dlouhém experimentování s MPM-ITK, MPM-Peruser, Apachem 2.2, suPHP, FastCGI, benchmarkování a podobně jsem došel k následujícím závěrům:

Nakonec to tedy dopadne tak, že se pokusím udělat mass hosting s FastCGI/PHP/MPM-Worker, pokud se mass hosting nepodaří, budou to normální VirtualHosty. To už je stejně jedno ... Hotové configy tady potom někde vystavím, aspoň pro ty, kteří se po nich ptali. Díky všem za komentáře a pokud se vám to aspoň trošku líbilo, tak se můžete těšit vbrzku na další díl. Pax!



Takže - na serveru teď běží Gentoo Linux, se kterým jsem byl vždycky spokojený a o kterém věřím, že se s pomocí skvělého nástroje glsa-check se vyrovná i některým ... "profesionálnějším" distribucím. Já mám prostě Gentoo rád a myslím, že popisované problémy nejsou gentoo-specific, takže prosím no flame :) Co už mám: skoro nic. Vpodstatě hlavně myšlenky a lehce započatou práci s Apachem. Kde jsem se zasekl:

Mám Apache 2.0.58-r2. Chci, aby Apache běžel s dynamickými vhosty (tzn. že sleduje nějaký adresář a podle názvů adresářů uvnitř "přidává" vhosty. Zkrátka každou složku interpretuje jako vhost. Více přímo na odkazovaných stránkách). To se mi podařilo - dokonce oběma možnými způsoby - první je přes mod_rewrite, kterýžto nevypadá tak hezky, ale funkčně je to to samé a umožňuje jednoduše přesměrovat na předdefinovanou výchozí stránků v případě, že Apache požadované stránky nenajde. Druhý způsob je přes "VirtualDocumentRoot" direktivu, která toto (prý, oprav te mně, jestli se mýlím) neumožňuje. A teď opravdový problém - chtěl bych zfunkčnit věc, která mi chybí na všech zatím mnou používaných hostech - totiž, že FTP uživatel a uživatel, kterým jsou stránky interpretovány, není stejný. Vyplývá to z toho, že Apache provádí všechny operace jako jeden uživatel a skupina (ať už www:www-group, nebo apache:apache, viděl jsem všechno možné) a vy pak nemůžete dělat některé operace, které by se vážně přes to FTP hodily - obvzlášť v případě, že třeba redakční systém uploaduje soubory jako 0600 :D. Co s tím? Použít mpm-peruser, který umožňuje pro každý VHost nadefinovat jiného uživatele:skupinu, pod kterým má Apache běžet. Ale jak to skloubit s dynamickými vhosty? To se mi zatím nepodařilo. Asi by se hodilo vypsat důležité části mých konfiguráků :)

Tohle je ta metoda dynamických vhostů přes mod_rewrite
/etc/apache2/httpd.conf
UseCanonicalName Off

RewriteEngine On

# a ServerName derived from a Host: header may be any case at all
RewriteMap  lowercase  int:tolower

RewriteCond  %{REQUEST_URI}  !^/icons/
# Duplicate the above for whatever other system-wide aliases you have
RewriteCond  /storage/www/hosts/${lowercase:%{SERVER_NAME}} -d
RewriteRule  ^/(.*)$  /storage/www/hosts/${lowercase:%{SERVER_NAME}}/$1 [L]

RewriteCond  %{REQUEST_URI}  !^/icons/
# Duplicate the above for whatever other system-wide aliases you have
RewriteRule  ^/(.*)$  /storage/www/default/$1

# this log format can be split per-virtual-host based on the first field
LogFormat "%V %h %l %u %t \"%r\" %s %b" vcommon
CustomLog logs/access_log vcommon

A tohle přes regulérní direktivy Apache pro to určené. Jméno souboru více méně nepodstatné.
/etc/apache2/vhosts.d/10_dynamic_vhosts.conf
<VirtualHost *:80>
    # Security Directive
    #
    <Directory "/storage/www/hosts/">
    Options -Indexes FollowSymLinks MultiViews

    AllowOverride All

     Order allow,deny
      Allow from all
    </Directory>
    <IfModule mod_vhost_alias.c>
#Přesně tohle by to nějak mělo dělat. Jenže. Tahle direktiva nemá co dělat v <VirtualHost>, ale mimo něj zase nevím jak získat ty %0.0 pro název hostu. 
<IfModule peruser.c>
    ServerLimit          256
    MaxClients           256
    MinSpareProcessors     2
    MaxProcessors         10
    MaxRequestsPerChild 1000

    # kill off idle processors after this many seconds
    # set to 0 to disable
    ExpireTimeout       1800

    # Přesně tohle nefunguje
    Multiplexer %0.0 %0.0

    Processor %0.0 %0.0

    # chroot dir is optional:
    # Processor user group /path/to/chroot
</IfModule>
#Odsuď dále to zase funguje ;)
<IfModule>
      # CGI Directives
      #
      <DirectoryMatch "^/storage/www/hosts/[^/]+/cgi">
        AllowOverride None
        Options ExecCGI
        <IfModule mod_access.c>
          Order allow,deny
          Allow from all
        </IfModule>
      </DirectoryMatch>
    </IfModule>

  </VirtualHost>

</IfDefine>

Snad je to alespoň trošku srozumitelné. Díky všem za pomoc - slibuju, že to dolním do těch konfiguráků tady, aby to mohl kdokoliv příště použít :). Příště: FTP, SSH, MySQL a kokmplexní správa přes nějaké webové rozranní (jak pro mě, tak pro uživatele/zákazníka). Stay tuned!

       

Hodnocení: 83 %

        špatnédobré        

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

Komentáře

Vložit další komentář

Valoun avatar 11.1.2007 21:41 Valoun | skóre: 30 | blog: Psavec | Středočeský kraj
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
V debianu je tento balicek: libapache2-mod-vhost-hash-alias

mod_vhost_hash_alias is a simple, fast and efficient way to automatically manage virtual hosting. It allow administrator to build massive virtual web servers, without the need to describe each virtualhost document root. It use the servername extract from the HTTP request to build a path to the real document root. It build a digest based on the servername and split it according to a configurable directory scheme. As digest could collide, mod_vhost_hash_alias add the servername to distinguish between hash value (and allow human to do inverse lookup on directory path).

Nezkousel jsem, ale mozna by to mohlo pomoci.
11.1.2007 21:45 al-Quaknaa | skóre: 13 | blog: al_quaknaa
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache

Ano, tohle vypadá, že by mohlo pomoci vyřešit ten problém s přesměrováním na výchozí stránky v případě, že požadovaný host neexistuje. Ale problém, který mě teď pálí víc, je ten s oddělenými uživateli pro jednotlivé VHosty ... I tak díky :)

12.1.2007 08:23 lm
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
ak som spravne pochopil v com vidis problem, tak ja by som sa na to pozral opacne: je potrebne nastavit ftp server tak, aby kazda ftp session bezala pod uzivatelom apache-a, resp. aspon s grupou pod ktorou bezi apache a umask nastavit na 0027 alebo 0022. vsetko z toho bezny ftp server dokaze.
12.1.2007 09:51 al-Quaknaa | skóre: 13 | blog: al_quaknaa
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache

To právě nepůjde - uživatelé by si pak "lezli do zelí". PHP skripty by nejspíš mohly běžet i mimo svůj dynamický vhost a když by běžely všehcny za jednoho uživatele, tak by mohly i psát do dalších hostů.

Problém spočívá asi hlavně v tom, že já potřebuju, by to byl systémový uživatel, protože chci dát i SSH účet, chci, aby FTP používalo systémové účty, zkrátka složka /www/stranky by byla vlastněna uživatelem, stranky, přistupovalo by se k ni s ftp uživatelem stranky, php skripty by v ní běžely za uživatele stranky a přes ssh by s tím vším pracoval uživatel stranky, který by nebyl vpuštěn nikam jinam. Doufám, že to jde z tohohle zmatku pochopit :)

15.1.2007 08:27 lm
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
tak potom chroot do kazdy do svojho home-u (ssh aj ftp) s nejakym busyboxom by to nemal byt problem. do /etc/skel/ pridat adresar bin/ so staticky skompilovanym busyboxom a po vytvoreni adresara, sa nemusis o nic starat.
Luk avatar 11.1.2007 21:51 Luk | skóre: 47 | blog: Kacířské myšlenky | Kutná Hora
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
A teď opravdový problém - chtěl bych zfunkčnit věc, která mi chybí na všech zatím mnou používaných hostech - totiž, že FTP uživatel a uživatel, kterým jsou stránky interpretovány, není stejný. Vyplývá to z toho, že Apache provádí všechny operace jako jeden uživatel a skupina (ať už www:www-group, nebo apache:apache, viděl jsem všechno možné) a vy pak nemůžete dělat některé operace, které by se vážně přes to FTP hodily - obvzlášť v případě, že třeba redakční systém uploaduje soubory jako 0600 :D. Co s tím?
Nyní si mohu přihřát svoji polívčičku a říci, že by se na to dal použít incron (při vytvoření nebo přesunu souboru do adresáře by se automaticky spustilo něco jako chown uzivatel:skupina soubor). Jenže incron zatím není dostatečně stabilní na to, abych ho mohl doporučit na produkční server ;-)
LinuxMarket - linuxový e-shop | LinuxEXPRES - linuxový magazín | OpenOffice.cz - portál uživatelů OpenOffice/LibreOffice
11.1.2007 21:56 al-Quaknaa | skóre: 13 | blog: al_quaknaa
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache

Situaci kolem incronu samozřejmě sleduju a pro některé účely se určitě bude hodit. Ale - pokud tady tohle už má nějak Apache v sobě (a to s tím, že nejde jen o vlastníky souborů, ale i vlastníky procesů), tak mi přeci jenom jde spíš o to rozchodit něco, co ještě není dokonale zdokumentované (tedy MPM-Peruser), než vymýšlet nějaký (nechci se nikoho dotknout :D) quick'n'dirty řešení. Ale jinak - incronu přeju hodně úspěchu!

Luk avatar 11.1.2007 23:35 Luk | skóre: 47 | blog: Kacířské myšlenky | Kutná Hora
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
tak mi přeci jenom jde spíš o to rozchodit něco, co ještě není dokonale zdokumentované
Spíš bych řekl nezdokumentované ;-) Aspoň ne v normální dokumentaci. Navíc bych se docela obával, že to bude bugovité - už proto, že to používá dost málo lidí a tudíž není moc možností na ty chyby přijít. Ale třeba ne :-)
LinuxMarket - linuxový e-shop | LinuxEXPRES - linuxový magazín | OpenOffice.cz - portál uživatelů OpenOffice/LibreOffice
12.1.2007 22:52 Semo | skóre: 45 | blog: Semo
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
Dokaze incron sledovat cely podstrom? Mal som pocit, ze inotify to vobec neumoznuje a ani nemoze. Jedine, ze by uplodavani adresara rovno pridalo samo zebe, aby sledovalo aj tento podadressar. Proste si myslim, ze upload niekam do hlbky stromu sa neda sledovanim korena detekovat.
If you hold a Unix shell up to your ear, you can you hear the C.
Luk avatar 12.1.2007 23:28 Luk | skóre: 47 | blog: Kacířské myšlenky | Kutná Hora
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
Dokaze incron sledovat cely podstrom?
Nedokáže. Zatím.
Mal som pocit, ze inotify to vobec neumoznuje a ani nemoze.
Neumožňuje (a může, i když to není implementováno - jenže je otázka, jaké by mělo výkonnostní dopady, kdyby se to implementovalo). Proto mám v plánu implementovat to na úrovni aplikace. Jenže je to složité, takže to nebude hned.
Jedine, ze by uplodavani adresara rovno pridalo samo zebe, aby sledovalo aj tento podadressar.
Ano, tohle je zatím bohužel jediné řešení. Navíc netriviální, protože by se muselo zjišťovat, jestli to nově vložené (vytvořené/přesunuté) je adresář.
LinuxMarket - linuxový e-shop | LinuxEXPRES - linuxový magazín | OpenOffice.cz - portál uživatelů OpenOffice/LibreOffice
11.1.2007 22:18 k3 | skóre: 15 | blog:  
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
libapache2-mod-suphp - Apache2 module to run php scripts with the owner permissions treba se ti to bude libit :) (nikdy jsem to nepouzil jen to tam jako pkg je)
11.1.2007 23:02 Vskutečnosti Saýc | skóre: 7
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
co pouzit ftp s virtualnimi ucty, ktere jsou kazdy chrootnuty jinam, a maji stejneho uzivatele a skupinu jako apache?

spis je otazka, jak na dynamic virtual hosty napasovat nejakej phpckovej open_basedir (nebo jak se to presne pise), aby uzivatele nemohli lezt do souboru nekomu jinemu pomoci php.
12.1.2007 22:55 Semo | skóre: 45 | blog: Semo
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
Az to nejak uspokojivo vyriesis (to spustanie php skriptov pomocou mod_php, ale so specifickym uid pre kazdy virtual host), tak to tu prosim napis. Prave riesim to iste na serveri.
If you hold a Unix shell up to your ear, you can you hear the C.
13.1.2007 03:27 volvox | skóre: 16
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache
Poskytovat virtuální hosty pod různými uživateli jde v zásadě těmito způsoby:
  • Pro skripty přes CGI/FastCGI
  • Pomocí vhodného MPM
  • Přes proxy
Pokud by to zajímalo víc lidí, jsem ochotný napsat pro abíčko článek... ;)
13.1.2007 11:20 al-Quaknaa | skóre: 13 | blog: al_quaknaa
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache

Ano, to by bylo rozhodně skvělé. Taky jsem se k tomu už nějak dohrabal (jaké jsou možnosti), ale zajímalo by mě srovnání z praxe. Osobně jsem třeba zjistil, že nevím, jestli jde použít MPM-peruser pro dynamický virtuální hosting, protože mu mod_vhost_alias asi nemůže předat %0 (jméno hostu), aby podle něj pracoval pod nějakým uživatelem (direktiva ServerEnvironment). Teď se chystám vyzkoušet mod_suphp, ale nevím, jak je na tom zase výkonostně ve srovnání s MPM. A řešení přes proxy? Tohle by asi chtělo podrobnější vysvětlení. Díky :)

13.1.2007 16:17 al-Quaknaa | skóre: 13 | blog: al_quaknaa
Rozbalit Rozbalit vše Re: Server - Díl druhý - Software: Apache

No, tak zatím to funguje pomocí mod_suphp. Běží to pod správným uid:gid a všechno, co jsem vlastně chtěl, akorát se zdá, že je to přes CGI, což je prý pomalejší, bohužel nevím, jak to otestovat. Našel jsem httperf benchmark, který vyzkouším, ale nevím, jestli je to to, co hledám (benchmark výkonu Apache/PHP). Uvidím. Takže: zatím to chodí, jak má, akorát ne přes MPM (peruser segfaultoval a po odladění, aby nesegfaultoval tak jsem stejně nevěděl, jak ho nastavit tak, aby spouštěl pod uživatelem, který se získal pomocí mod_vhost_alias jako %0), ale přes mod_suphp, tedy CGI. Za další reakce budu samozřejmě vděčný ;)

Založit nové vláknoNahoru

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.