Dotaz: mpm-itk vs. php-fpm vs. suphp vs. ... bezpečnosť a jednoduchosť

[Peter]

Dobrý deň prajem osadenstvu.

Riešim čo použiť na multiužívatelský webový server. mpm-itk je pre mňa najjednoduchší na inštaláciu - používam CentOS a balík je v EPEL (podľa môjho skromného laického názoru jediný dôveryhodný externý repozitár pre RHEL) ale zasa má ten "problém" s root-om. Vlastne tu sa začína moja otázka - aké horúce je to v reálnom použití s týmto problémom?

Dalej je tu php-fpm, ktorý je zložitejší na konfiguráciu - čo ešte prekusnem, ale väčší problém je, že balíky sú len v pre mňa nedôveryhodnom repozitári, alebo vlastná kompilácia (niežeby som mal problém si niečo skompilovať - 10 rokov na gentoo urobilo svoje - ale na produkčnom serveri sa fakt nechcem hrať so svojou kompilaciou).

Dalej je tu mpm-prefork, ktorý je evidentne mrtvy, suphp čo zatiaľ netuším o čom je, ...

Co používate vy, čo sa používa na serioznych veľkých hostingoch, ...

Za každú radu budem veľmi vdačný.

Odpovědi

[Peter]

Pardon - tým mpm-prefork som myslel peruser.

[Max]

Záleží, kolik toho chceš provozovat a v jakém rozsahu.
Osobně bych ale už asi nešel vlastní cestou a něco kompiloval, ale využit něco stávajícího.
Máš tedy na výběr :
1) fcgi + suexec
- pod jiným oprávněním neběží statický web, ale jen moduly jako php, python apod.
- není problém s mpm-worker (multi-thread apachem)
- můžeš si definovat pro každou doménu / uživatele jiný php.ini, což může být v některých případech značná výhoda
- není závislý na verzi php (můžeš provozovat x verzí php najednou)

2) mpm-itk
- je založeno na mpm-prefork, single thread
- je to na úrovni apache, takže i statický web běží pod jiným oprávněním - nemůžeš si definovat vlastní php.ini pro konkrétní doménu

3) php-fpm
- mělo by být součástí php od verze 5.4.1
- řeší jen php, nic dalšího v rámci apache (statický web, jiné moduly jako python apod.)
- nemám s tím bližší zkušenosti, asi se podívám, kam to pokročilo.

Osobně stále přemýšlím, že zůstanu u fastcgi+suexec
Zdar Max

[MP]

Ohledne toho apache2-mpm-worker, nevite nekdo, co ma byt v budoucnu? Bezne to pouzivam s php-fpm, ale... nyni je v oldlibs v deb tree, tzn. je obsolete, resp. vsechny apache2-mpm-* jsou obsolete od Jessie+. Nedari se mi dohledat, co a jak bude, resp. co a jak nakonfigurovat bez techto baliku.

[azurIt]

U nas (ElbiaHosting) pouzivame mpm-itk. Mozes este pouzit deravy a exploitovatelny mod_ruid2, ktory pouziva WebSupport ;) http://lists.err.no/pipermail/mpm-itk/2013-September/000680.html

[MMMMMMMMM]

Běžím na mpm-itk. Pro každý virtual host měním pár nastavení pro php jako např.:

    php_admin_value open_basedir ...
    php_admin_value session.save_path ...
    php_admin_value upload_tmp_dir ...
    php_admin_value sendmail_path ...

Spíše bych se chtěl zeptat jaký je tam "problém" s root-om?

[azurIt]

Ten, ze Apache ako celok bezi pod rootom a UID meni az po prijati poziadavky a spracovani HTTP hlaviciek. Treba ale dodat, ze dany root je dost osekany pomocou capabilities.