Dotaz: cron a PHP

[david]

dobrý den, mám dotaz

zadal jsem do cronu příkaz na spuštění

 00 16 * * * root lynx -dump http://www.xyz.ccz/platba.php 

a bohuzel uvnitř tohoto php kodu je systemovy přikaz
system(´iptables -t nat .....´)
který se me pohužel nespustí, nevíte prosím radu?
dekuji david

Odpovědi

[Filip Jirsák]

Jsou dvě možnosti -- buď se vám nespouští ten příkaz z cronu, nebo je chyba ve skriptu na serveru. Zjistíte to snadno -- zkuste adresu zadat ručně do prohlížeče a ověřte si, zda se skript na serveru spustil. Aby vám šlo spustit iptables na serveru, musí webserver běžet pod rootem.

[kraken]

sudo je riesenie....

[dejvic]

jak prosím se sudo?

[kraken]

man sudoers
syntax: user-pod-ktorym-bezi-webserver ALL=(ALL) NOPASSWD: /sbin/iptables

zjednodusene ukazky:
apache ALL=(ALL) NOPASSWD: /sbin/iptables
www-data ALL=(ALL) NOPASSWD: /sbin/iptables

[david]

muze me nekdo prosim prelozit do s tim prikazem sudo.

moc se v linuxu nevyznam, potrebuji prave na jednom serveru zprovoznit pravidelné spousteni toho skriptu

 

tento prikaz nejde

 

$shellOutput = system('iptables -t nat -I PREROUTING -p tcp --dport 80 -s ${'.trim($row_usr["ip_1"]).'} -j DNAT --to-destination 10.0.0.1', $retval);
 

uživatel ktery spousti webserver je www-data

 

dekuji moc

[dejvic]

příkaz z cronu se vykoná, protože vykonává další činnosti které pak vidim v logu, tak usuzuji ze to bězi správně, krom tedy toho iptables, to se nespusti.

[Filip Jirsák]

Pak je problém v tom, že web server (správně) neběží s právy roota. Nejlepší bude použít pro spuštění sudo, také byste mohl spuštění iptables delegovat do nějakého externího procesu, který by se spouštěl z binárky se suid bitem, nebo v nejhorším případě provozovat celý web server pod rootem.

[pht]

Pak je navíc zbytečné pouštět ten lynx pod rootem.

[david]

tak jsem vlozil do sudoers

www-data ALL=(ALL) NOPASSWD: /sbin/iptables

 

a upravil prikaz v php kodu

$shellOutput = system('sudo iptables -t nat -I PREROUTING -p tcp --dport 80 -s ${'.trim($row_usr["ip_1"]).'} -j DNAT --to-destination 10.0.0.1', $retval);

a stale nic.

 

tak jsem jeste kouknul do error logu apache a tam vylezlo toto

sh: ${172.20.13.20}: bad substitution

 

tak jsem z toho uz magor, prosiiim help, dekuji moc.

david

[moira]

ze by { a } ?

[david]

díky - už to píše správný příkaz

ale zase chyba v errol.logu

sh: iptables: command not found

? díky

[Ash]

/sbin/iptables

(www-data nemá /sbin v $PATH)

[Ash]

$shellOutput = system('sudo iptables -t nat -I PREROUTING -p tcp --dport 80 -s '.trim($row_usr["ip_1"]).' -j DNAT --to-destination 10.0.0.1', $retval);

[david]

tak super uz jsem zase dále

>>> sudoers file: syntax error, line 18 <<<
sudo: parse error in /etc/sudoers near line 18

 

obsah sudoers

 

# /etc/sudoers
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the man page for details on how to write a sudoers file.
#

Defaults    env_reset

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root        ALL=(ALL) ALL
www-data     ALL=(ALL) NOPASSWD: /sbin/iptables

[dustin]

Manuálová stránka sudoers je poměrně nepřehledná, ale na webu jsou mraky návodů, např. http://www.cyberciti.biz/tips/allow-a-normal-user-to-run-commands-as-root.html . Pokud neumíš anglicky, zkus některý z překladových nástrojů, např. Google Translate Firefox extension, která vrátí http://translate.google.com/translate?hl=en&sl=en&tl=cs&u=http://www.cyberciti.biz/tips/allow-a-normal-user-to-run-commands-as-root.html

Řekl bych, že na posledním řádku nemá být (ALL) za rovnítkem.

[Filip Jirsák]

To je zbytečné vždy, protože Lynx k serveru přistupuje přes HTTP, takže úplně stejně ten skript můžete spustit z Windows na druhém konci světa. A tam byste roota od toho serveru sháněl těžko...

[david]

takže tim myslite ze se to nepovede rozebehnout?

[Filip Jirsák]

Ne, tím myslím, že vůbec nezáleží na tom, v jakém prohlížeči tu příslušnou stránku otevřete. Rozběhnout se to jistě podaří, stačí si nastudovat, jak funguje a jak se konfiguruje sudo.

[dustin]

Proč by to nešlo, když nastavíš ty sudoers? Samozřejmě že uživatel, pod kterým běží www klient, je nepodstatný, ten jen po síti iniciuje tu akci. Klíčový je uživatel, pod kterým běží www server. Pokud mu přes sudo umožníš provádět danou akci pod rootem, musí to fungovat.

Nejlepší je sudo testovat rovnou pod daným uživatelem. Až to rozchodíš, můžeš to ladit v PHP. V ubuntu se přepni na roota přes

sudo -i

Pak se přepni na www-data přes

su www-data

A můžeš testovat konfigurace sudoers. Je to jednoduché, není důvod to vzdát.

[david]

tak pánové všem děkuji za tipy, už se povedlo,

vše už bylo ok, jen to stačilo otevrit pres visudo a ulozit.

nechapu ale funguje

 

díky všem za ochotu a dobré rady. david

[dejvic]

Vazeni stale se me nedari

spoustim z cronu skript ve kterem je prikaz

$shellOutput = system('sudo /sbin/iptables -t nat -D PREROUTING -p tcp --dport 80 -s '.trim($row_usr["ip_1"]).' -j DNAT --to-destination 10.0.0.1', $retval);
 

v error.logu apache2 me to napise at se kouknu na iptables -h

jinou hlasku ne.

 

a kdyz si spustim skript z prikazove radky tak to napise

BAD ARGUMENT 'DNAT' BAD ARGUMENT 'DNAT'

 

Přitom samotný příkaz když si pustim tak funguje v pořadku, nevite prosim radu.

dekuji david

[dustin]

Ten příkaz si naformátuj předem mimo volání system() a vypiš přes print. Uvidíš tak, co se opravdu volá, můžeš si jej i zkusit spustit bokem. Složitější skládání příkazu a jeho spuštění bez předchozí bez kontroly (navíc pod rootem !!) není úplně nejlepší cesta.