Str. 1 Ćwiczenie 9 Apache - Serwer stron www Cel ćwiczenia: Zapoznanie się z konfiguracją i zarządzaniem serwerem WWW - Apache. Przed przystąpieniem do ćwiczenia uczeń powinien: - poruszać się po systemie Linux, w trybie tekstowym, - zainstalować kartę sieciową w systemie Linux, - skonfigurować połączenie sieciowe. Po wykonaniu ćwiczenia uczeń będzie umiał: - zainstalować serwer WWW - Apache, - opublikować witrynę www, - utworzyć serwery wirtualne, - zabezpieczyć dostęp do zasobów www, - zainstalować obsługę skryptów PHP, - zabezpieczyć dostęp do PHP. Uwagi o realizacji ćwiczenia: Ćwiczenie podzielone jest na rozdziały. Rozdział zbudowany jest z opisu teoretycznego omawiającego wybrane zagadnienie i zadania do wykonania. Zadania umieszczone są w ramkach.
Str. 2 9.1 Apache - Serwer stron internetowych Treść rozdziału 9.1 jest modyfikacją opracowania PLD Linux Distribution Podręcznik użytkownika, administratora i twórcy (Rozdział 9. Usługi dostępne w PLD Apache Serwer stron internetowych), rozpowszechnianego na zasadzie licencji GNU Free Documentation License. 9.1.a Wstęp Każdy, nawet początkujący użytkownik sieci Internet zetknął się z Apachem świadomie lub nie. Apache jest oprogramowaniem, które można powiedzieć zdominowało w pewnym stopniu rynek aplikacji serwerowych. Do działania wykorzystuje on protokół HTTP (RFC2616). Jak sama nazwa wskazuje Apache (a patche server) składa się z wielu modułów. Można to zauważyć już na pierwszy rzut oka. W tym rozdziale zostanie opisana autoryzacja, obsługa skryptów php, virtualhosts oraz ogólna jego konfiguracja. Na początek powinieneś zainstalować usługę. yum install httpd Tytułem wstępu pragnę jeszcze powiedzieć, że niniejszy dokument nie może być traktowany jako dokumentacja do Apache. Ma on na celu ułatwienie użytkownikowi zapoznania się z usługą oraz kilkoma jej możliwościami. Po bardziej szczegółowe informacje odsyłam do stron podręcznika systemowego (man) oraz dokumentacji on-line /etc/httpd/httpd.conf W tym katalogu przechowywane są pliki konfiguracyjne demona. Po instalacji poszczególnych składników Apache, właśnie w tym miejscu należy szukać plików konfiguracyjnych od nich. 9.1.b Podstawowa konfiguracja Głównym plikiem konfiguracyjnym jest /etc/httpd/httpd.conf. Zaraz po zainstalowaniu demon jest wstępnie skonfigurowany i gotowy do uruchomienia. Warto jednak zapoznać się ze specyfiką konfiguracji Apache. Podczas omawiania zwrócę Twoją uwagę na to, co może Ci się przydać. Plik konfiguracyjny podzielony jest na sekcje. Global Environment Zdefiniowane są w niej takie rzeczy jak parametry dotyczące obsługi klientów łączących się z serwerem, numeru portu, na którym ma on nasłuchiwać nadchodzących połączeń, ilości procesów uruchamianych przez demona oraz wątków. Szczegółowe informacje na ten temat znajdziesz w dokumentacji do Apache. Również tutaj znajdują się dyrektywy ładujące moduły skompilowane jako DSO (Dynamic Shared Object). W zasadzie bieżąca konfiguracja tej sekcji powinna być na razie wystarczająca, jedynie ustawić odpowiednio opcję Listen. ServerRoot /etc/httpd Timeout 300 KeepAlive on
Str. 3 Listen 12.34.56.78:80 Main server configuration Jak sama nazwa wskazuje, jest to główna sekcja pliku konfiguracyjnego. Zaraz pod definicją grupy oraz użytkownika, na których będzie pracował demon znajduje się poniższa opcja. User apache Group apache ServerAdmin root@srvxx.ckp.pl serwera. Powinieneś tutaj wpisać kontaktowy adres e-mail do siebie jako administratora tego Poniżej znajduje się opcja ServerName. Powinna ona wyglądać tak jak w poniższym przykładzie. ServerName komp-xx.srvxx.ckp.pl:80 Dosłownie jest to nazwa tego serwera. A dokładniej nazwa domenowa skonfigurowana na serwerze nazw opiekującym się Twoją domeną. Jeżeli nie posiadasz zarejestrowanej domeny, powinieneś wpisać tutaj adres IP. Następną opcją jest DocumentRoot. Określa ona domyślny katalog, w którym będzie przechowywana strona internetowa. Wpisując nazwę lub adres IP określony przez ServerName właśnie z tego katalogu zostaną pobrane i wczytane przez przeglądarkę pliki strony. DocumentRoot "/www/main" Domyślnie wszystkie żądania są tutaj skierowane. Ta lokalizacja nie jest obligatoryjna, więc nie musisz się jej trzymać. Może zostać zmieniona przy użyciu dowiązań symbolicznych lub aliasów wskazujących w inne miejsca. Jeżeli zmienisz DocumentRoot to musisz także zmienić lokalizację katalogu w dyrektywie <Directory /http/services/httpd/html > <Directory /www/main > Następna opcja to UserDir. Definiuje ona nazwę katalogu przechowującego strony użytkowników. UserDir public_html Oczywiście, jeżeli nie podoba Ci się ta nazwa możesz ją zmienić, jednak należy pamiętać o tym, aby nazwy katalogów ze stronami na kontach użytkowników odpowiadały temu, co jest w pliku konfiguracyjnym. Przykład: Użytkownik Test Kowalski posiada konto o nazwie: test. W /home/test jest jego katalog domowy. Jego strona internetowa znajduje się w katalogu /home/test/public_html. Aby strona się wyświetliła należy ustawić odpowiednie prawa dostępu. Katalog domowy test powinien mieć ustawione prawa 711. Katalog przechowujący jego stronę, czyli public_html powinien mieć 755. Każdy katalog
Str. 4 zawierający elementy strony powinien mieć również uprawnienia 755. Pliki strony natomiast 644. Zgodnie z dotychczasową konfiguracją Apache, stronę Testa będzie można oglądać pod adresem: http://komp-xx.srvxx.ckp.pl/~test. Zgodnie z obecnym standardem tworzenia stron internetowych, domyślnym plikiem, który jest automatycznie wczytywany po wpisaniu w przeglądarce adresu jest index, który w zależności od konstrukcji strony może mieć różne rozszerzenia. A więc skąd Apache wie, co ma zostać wczytane jako pierwsze? Do tego właśnie służy pakiet apache-mod_dir. Poprzez dyrektywę DirectoryIndex określa się, czego i w jakiej kolejności ma szukać przeglądarka. DirectoryIndex index.html index.htm index.php Oczywiście możemy podawać tutaj różne nazwy plików startowych stron w zależności od naszych potrzeb. Aby twój system nie przedstawiał się nazwą i numerem wersji warto ustawić w konfiguracji dwa parametry: ServerSignature Off ServerTokens Prod Należy teraz uruchomić usługę, aby dokonane przez nas zmiany odniosły skutek. service httpd start Zadanie 9.1 Instalacja i podstawowa konfiguracja serwera Apache 1. W maszynie wirtualnej ustaw 1 kartę sieciową: 2. Karta 1: Mostkowana karta sieciowa 3. Do interfejsu eth0 przypisz adres 10.0.10.xx maska 255.255.255.0, gdzie xx to numer twojego komputera. 4. Ustaw bramę i DNS na adres 10.0.10.254. 5. Wykonaj pinga na wp.pl. 6. Ustaw nazwę komputera na komp-xx, domenę na srvxx.ckp.pl, gdzie xx to numer twojego komputera. 7. Do /etc/hosts wpisz swój adres IP dla nazw komp-xx i komp-xx.srvxx.ckp.pl, gdzie xx to numer twojego komputera. 8. Wyłącz selinux (w pliku /etc/selinux/config ustaw wartość SELINUX=disabled). 9. Wyczyść firewall a (iptables F) i zapisz ustawienia (service iptables save). 10. Wykonaj reboot.
Str. 5 11. Zainstaluj usługę httpd (yum install httpd) 12. Utwórz folder na główną witrynę www, w lokalizacji /www/main. 13. Utwórz startowy plik witryny - index.html. 14. Udostępnij główna witrynę www zlokalizowaną w katalogu /www/main. 15. Zainstaluj przeglądarkę tekstową lynx (yum install lynx). 16. Za pomocą przeglądarki lynx zobacz swoją główną stronę. 9.1.c Virtual Hosts - wiele nazw na jednym serwerze Mechanizm hostów wirtualnych jest prosty w konfiguracji. Musi się opierać o serwer DNS dlatego, że nazwy, które zostaną użyte muszą istnieć w Internecie. W pliku konfiguracyjnym Apache w sekcji Virtual Hosts ustaw opcję jak w poniższym przykładzie. NameVirtualHost komp-xx.srvxx.ckp.pl:80 W tym momencie należy zrobić odpowiedni wpis do pliku strefy (w serwerze DNS) opisującego domenę. test IN A 12.34.56.78 Po przeładowaniu serwera DNS, nowy wpis powinien już być widoczny przez większość serwerów nazw. Można teraz przystąpić do konfiguracji Apache. Posługując się swoim ulubionym edytorem tekstu otwórz plik /etc/httpd/httpd.conf. Jak szybko się zorientujesz plik zawiera przykładową konfigurację w postaci komentarza. Na jego podstawie stworzymy własną dla witryny test. <VirtualHost komp-xx.srvxx.ckp.pl:80> ServerAdmin root@srvxx.ckp.pl DocumentRoot /www/test ServerName test.srvxx.ckp.pl ErrorLog /var/log/httpd/test.srvxx.ckp.pl-error.log TransferLog /var/log/httpd/test.srvxx.ckp.pl-transfer.log </VirtualHost> Oczywiście możesz wyznaczyć tutaj innego administratora serwera, jeśli tego potrzebujesz. Możesz również przy użyciu opcji ErrorLog oraz TransferLog sprawić, aby logi z tej strony były zapisywane np. pod inną nazwą. Jak widzisz, poprzez DocumentRoot został zmieniony domyślny katalog przechowywania stron, o czym wspominałem już wcześniej. Kiedy przeglądarka zażąda zawartości test.srvxx.ckp.pl demon użyje zmienionego DocumentRoot, aby spełnić to żądanie. UWAGA: dla głównej strony także należy utworzyć sekcję VirtualHost. <VirtualHost komp-xx.srvxx.ckp.pl:80> ServerAdmin root@srvxx.ckp.pl DocumentRoot /www/main
Str. 6 ServerName komp-xx.srvxx.ckp.pl ErrorLog /var/log/httpd/main.srvxx.ckp.pl-error.log TransferLog /var/log/httpd/main.srvxx.ckp.pl-transfer.log </VirtualHost> Końcowym etapem uruchomienia bieżącej konfiguracji jest zrestartowanie usługi httpd. /etc/rc.d/init.d/httpd restart Wpisując w przeglądarce adres: http://test.srvxx.ckp.pl otworzy się strona witryny test. Zadanie 9.2 Serwery wirtualne 1. Utwórz folder /www/test, a w nim stronę testową dla serwera wirtualnego. 2. Utwórz sekcję VirtualHost dla strony głównej. 3. Utwórz sekcję VirtualHost dla serwera wirtualnego test.srvxx.ckp.pl. 4. Do DNS dopisz rekord A dla test.srvxx.ckp.pl (UWAGA: jeżeli w czasie ćwiczenia nie masz DNSa, możesz wpisać do pliku /etc/hosts). 5. Zrestartuj serwer www i sprawdź czy działa domena wirtualna. 9.1.d Autoryzacja Apache udostępnia również mechanizm autoryzacji. Często używany jest, aby wyodrębnić z serwisu pewną część przeznaczoną dla upoważnionych użytkowników. Uprawnienia działają na poziomie katalogów. Nie można w ten sposób chronić poszczególnych plików. Jeżeli potrzebujesz chronić jedynie jeden lub kilka plików, stwórz w obrębie strony katalog o dowolnej nazwie i umieść je w nim. Oczywiście musisz pamiętać o przekonstruowaniu linków na stronie. Polecenie htpasswd, służy do wygenerowania pliku z nazwą użytkownika oraz hasłem, które go identyfikuje. Nie ma żadnej konwencji nazewnictwa, jednak zalecam ze względów bezpieczeństwa, aby plik z hasłem zaczynał się od ciągu znaków:.ht, tak jak to zostało zdefiniowane w: /etc/httpd/httpd.conf # The following lines prevent.htaccess and.htpasswd files from being # viewed by Web clients. <Files ~ "^\.ht"> Order allow,deny Deny from all </Files> Musimy określić katalog przechowywania dla tych plików. Oczywiście powinien on być osiągalny z poziomu użytkownika apache, na którym pracuje apache. Przystępujemy do generowania. htpasswd -c /www/test/.htaccess test New password: Re-type new password: Adding password for user test
Str. 7 W tym miejscu zostaliśmy poproszeni o wpisanie hasła oraz jego potwierdzenie. Jeżeli wszystko się zgadza, dostaniemy informację taką jak w powyższym przykładzie. Nazwa użytkownika jest przechowywana w formie jawnej, natomiast hasło zostało zaszyfrowane. cat /www/test/.htaccess test:saewgagl6fzfy Należy ustawić odpowiednie prawa dostępu do tego pliku. chmod 600 /www/test/.htaccess chown apache.apache /www/test/.htaccess W ten oto sposób dajemy możliwość zapisu i odczytu użytkownikowi apache do.htaccess. Pozostaje nam jeszcze zdefiniowanie, który katalog będziemy chronić. Należy w tym celu, wyedytować główny plik konfiguracyjny apache: /etc/httpd/httpd.conf Powinniśmy zdefiniować katalog, który będziemy chronić. Robimy to sposobem przedstawionym poniżej <Directory "/www/test"> Options Indexes FollowSymLinks Multiviews AuthType Basic AuthName "Witaj, zaloguj sie." AuthUserFile /www/test/.htdostep Require valid-user </Directory> Aby ten wpis mógł zadziałać powinien być umieszczony w obrębie sekcji Main server configuration. Po zakończeniu edycji należy zrestartować demona poleceniem /etc/rc.d/init.d/httpd restart Zadanie 9.3 Autoryzacja 1. Zabezpiecz dostęp do witryny test.srvxx.ckp.pl tak, aby strona ta była dostępna jedynie po zalogowaniu na użytkownika test z hasłem cekape. 9.1.e Obsługa skryptów PHP Ze względu na dużą funkcjonalność język PHP stał się już w zasadzie pewnym standardem w tworzeniu interaktywnych stron internetowych. Współczesne serwisy wykorzystują m. in. bazy danych, dlatego zostanie również opisane jak taką obsługę zapewnić. yum install php Po instalacji warto zmodyfikować domyślny plik konfiguracyjny /etc/php.ini. register_globals = Off Ze względów bezpieczeństwa zaleca się wyłączenie zmiennych globalnych w PHP. Jeżeli z jakichś powodów ustawisz tą opcję na On, robisz to na własną odpowiedzialność.
Str. 8 Jeżeli dostęp do PHP chcesz udostępnić swoim użytkowników, ze względów bezpieczeństwa powinieneś ustawić PHP w tryb safe_mod. Wówczas skrypty php będą mały jedynie dostęp do plików, których właściciel jest identyczny z właścicielem skryptu. Zabezpieczy to przed możliwością przeglądania dysku serwera przez aplikacje PHP. Warto również ustawić, aby PHP miał jedynie dostęp do plików z danego katalogu, w którym znajdują się strony. safe_mod = on open_basedir = /www Ze względów bezpieczeństwa warto również wyłączyć poniższe opcje. Wówczas serwer nie będzie informował o wykorzystywanej wersji PHP. expose_php = Off allow_url_fopen = Off Dostęp do PHP można udostępnić tylko wybranym serwerom wirtualnym. Należy wówczas wyłączyć dla katalogu głównego /, a załączyć jedynie dla danej witryny. Zatem w pliku /etc/httpd/httpd.conf należy wprowadzić poniższe modyfikacje. <Directory /> php_admin_flag engine Off <Directory > <Directory /www/php > php_admin_flag engine on <Directory > Jak sprawdzić czy php działa? Często do sprawdzania obsługi danego modułu wykorzystuje się funkcję phpinfo(). Aby z niej skorzystać przy użyciu ulubionego edytora tekstu stwórz plik info.php z zawartością taką jak poniżej: <?php phpinfo();?> Upewnij się czy plik posiada uprawnienia do odczytu dla wszystkich. Wpisując w przeglądarce adres, powinieneś uzyskać informacje m. in. na temat wersji PHP, konfiguracji serwera oraz obsługiwanych modułów. Zadanie 9.4 PHP 1. Zainstaluj PHP. 2. Zabezpiecz PHP przez odpowiednią modyfikację pliku php.ini. 3. Utwórz folder /www/php i serwer wirtualny php.srvxx.ckp.pl. 4. Do DNS dopisz rekord A dla php.srvxx.ckp.pl (UWAGA: jeżeli w czasie ćwiczenia nie masz DNSa, możesz wpisać do pliku /etc/hosts). 5. Zezwól na działanie PHP jedynie dla witryny php.srvxx.ckp.pl. 6. Sprawdź działanie PHP. 9.1.f Indeksowana zawartość katalogu Jest to bardzo przydatna funkcja w Apache. Jeżeli chcemy komuś udostępniać pliki znajdujące się w jakimś katalogu strony na serwerze możemy ją do tego wykorzystać. Przykładową konfigurację możesz obejrzeć na zamieszczonym poniżej przykładzie. <Directory "/www/pliki"> Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny
Str. 9 Allow from all </Directory> Opcją odpowiadającą za wyświetlenie plików jest tutaj Indexes. Zadziała ona tylko wtedy, kiedy w obszarze jej działania nie znajdzie się żaden plik określony przez DirectoryIndex. 9.1.g Ograniczanie dostępu do serwera Być może spotkasz się z problemem, kiedy na Twoim serwerze znajdować się będzie kilka stron. Nie chcesz jednak, aby każda z nich była widoczna w Internecie lub określonych sieciach. Jest na to proste rozwiązanie. Wszystkie mechanizmy potrzebne do rozwiązania tego problemu już poznałeś. <Directory "/www/pliki "> Order allow,deny Allow from 12.34.56.0/255.255.255.0 Allow from 12.34.67.89 </Directory> Dostęp do katalogu pliki mają wszystkie komputery z określonej w przykładzie sieci oraz jeden komputer o wymienionym adresie. Wszystkie połączenia nie pasujące do tych kryteriów traktowane są jako deny, zgodnie z porządkiem wyznaczonym przez dyrektywę Order.
Opracowanie: mgr inż. Tomasz Chudzikiewicz Str. 10 02.01.2013 Wrocław