Konfiguraatiosyntaksia

Transkriptio

1 Konfiguraatiosyntaksia <Directory "/var/www/cgi-bin"> AllowOverride None Options None Order allow,deny Allow from all </Directory> Konfiguraatiokomennot noudattavat syntaksi 'komento argumentti1 argumentti2' Komentoja voidaan ryhmitellä siten, että komennot vaikuttavat vain johonkin tiettyyn kontekstiin IfModule ja IfDefine ryhmien sisällä on komentoja, jotka suoritetaan vain jos palvelimella on jokin annettu moduli tai ominaisuus käytössä 23/69

2 URL:ien kuvaus tiedostoiksi DocumentRoot hakemisto josta Apache palvelee tiedostoja DocumentRoot "/home/www/htdocs" mod_userdir - käyttäjien www-sivujen polku Perinteinen public_html hakemisto käyttäjän kotihakemistossa: UserDir public_html WWW-sivut erillisessä hakemistohierarkiassa: UserDir /var/html UserDir /var/www/*/docs On mahdollista antaa useita vaihtoehtoisia sijainteja käyttäjän omille sivuille: UserDir public_html /hakemisto/jossain '~'-merkkiä ei voi vaihtaa toiseksi muuttamatta apachen lähdekoodia(?) 24/69

3 URL:ien kuvaus tiedostoiksi mod_alias URL:ien kuvaus tiedostojärjestelmään ja uulleenohjaukset Palveltavan hakemiston tai tiedoston lisäys palvelimelle: Alias <URL-polku> <Tiedostopolku> Alias /icons/ /usr/local/apache/icons Alias /hallinto /group/hallinto Tiedostojen ei tarvitse olla DocumentRoot hakemiston alla Myös säännölliset lausekkeet käytettävissä AliasMatch ^/u/tkt_legg/(.*) \ /home/fs/leggio/public_html/$1 URL:ien kuvaus CGI-skripteiksi ScriptAlias /cgi-bin/ /www/cgi-bin ScriptAliasMatch ^/cgi-bin(.*) /www/cgi-bin$1 25/69

4 Yksinkertaiset uudelleenohjaukset mod_alias tarjoaa yksinkertaiset uudelleenohjaukset: <Redirect <http-status> <polku palvelimella> <uusi URL> Esim: Redirect permanent /Jani.Jaakkola \ RedirectMatch (.*)\.gif$ Apache suorittaa redirect-komennot ennen Aliaskomentoja mod_rewrite tarjoaa ilmaisuvoimaisempia vaihtoehtoja uudelleenohjauksiin 26/69

5 Komentojen ryhmittely <Directory /foo> - komennot vaikuttavat vain fyysisessä hakemistossa /foo oleviin tiedostoihin.htaccess-tiedostot ovat hakemistoon itseensä säilöttyjä <Directory>-ryhmiä (tietyin rajoituksin) <Files *.png> - Komennot vaikuttavat vain annetun nimisiin tiedostoihin <Location /url/> - URL-kohtaiset komennot <Virtualhost> - Virtuaaliserveri kohtaiset komennot Apachella siis konfiguroidaan URL-avaruus ja tiedostoavaruus erikseen Tiedostoja koskevat säädöt ja rajoitukset siis <Directory> ja <files> ryhmissä, URL:i koskevat <Location> ja <Virtualhost> ryhmissä Konteksteja voi määritellä myös säännöllisillä lausekkeilla <DirectoryMatch regex> tai villeillä korteilla (*) 27/69

6 Komentoryhmien soveltaminen Yksi http-haku saattaa sopia mielivaltaiseen moneen ryhmään. Apachessa on määritelty ryhmien sovellusjärjestys seuraavasti: Ensin <Directory> ryhmät ja hakemiston.htaccesstiedostosta löytyvät komennot hakemistonimen pituuden mukaan lyhyimmästä nimestä pisimpään <DirectoryMatch regex> säännölliseen lausekkeen sopivat <Files> ja <FilesMatch> samaan aikaan <Location> ja <LocationMatch> samaan aikaan <Virtualhost> ryhmän sisällä olevat komennot suoritetaan <Virtualhost> ryhmän ulkopuolella olevien komentojen jälkeen, jotta <Virtualhost> ryhmällä voi ohittaa oletusasetukset Muuten siinä siinä järjestyksessä missä ryhmät löytyvät konfiguraatiotiedostosta 28/69

7 Options -komento Komennolla valitaan mitkä apachen ominaisuudet ovat käytössä hakemistossa ExecCGI sallitaanko CGI-skriptien suorittaminen All kaikki paitsi MultiViews. Tämä on oletusarvo FollowSymLinks seuraanko symbolisia linkkejä Includes onko apachen www-sivujen esikäsittelijä käytössä (SSI, Server Side Includes) IncludesNOEXEC onko CGI-skriptien suorittaminen SSImakroilla sallittu Indexes generoiko apache hakemistolistauksia hakemistoista joista puutuu index.html -tiedosto SymLinksIfOwnerMatch apache seuraa vain symlinkkejä, joiden omistaja on sama kuin kohdetiedoston omistaja Myös syntaksit Options +Foo ja Options -foo 29/69

8 AllowOverride -komento Komennolla toteutetaan politiikkapäätös ominaisuuksista, joita sallitaan konfiguroitavan. htaccess -tiedostoilla AllowOveride none ei käytetä.htaccess-tiedostoja lainkaan AuthConfig käyttäjätunnuksilla autentikoinnin konfigurointi sallittu FileInfo metainformaation konfigurointi sallittu (mm. Mime-tyypit) Limit IP-pohjaisten pääsyoikeuksien konfigurointi sallittu Options sallii Options -komennon käyttämisen - Tämä voi olla vaarallinen: tällä sallitaan CGI-skriptien käytössä olon konfigurointi.htacces -tiedostoilla 30/69

9 Pääsyrajoitukset mod_access tarjoaa yksinkertaiset IP-osoitepohjaiset pääsyrajoitukset Allow from all host env=env-variable Deny from all host env=env-variable Käytettävissä DNS-nimet, ipv4-osoitteet ja ipv6- osoitteet Order komennolla valitaan onko pääsy oletusarvoisesti sallittu ja missä järjestyksessä Allow ja Deny säännöt suoritetaan Order Deny,Allow Pääsy oletusarvoisesti sallittu, Allow -säännöllä presedenssi Order Allow,Deny Pääsy oletusarvoisesti kielletty, Deny -säännöllä presedenssi 31/69

10 <Directory> esimerkki <Directory /home/*/public_html> AllowOverride FileInfo AuthConfig Limit Indexes Options MultiViews Indexes SymLinksIfOwnerMatch ExecCGI Includes <Limit GET POST OPTIONS PROPFIND> Order allow,deny Allow from all </Limit> <Limit PUT DELETE PATCH PROPPATCH MKCOL COPY MOVE LOCK UNLOCK> Order deny,allow Deny from all </Limit> </Directory> Options Mitkä apachen ominaisuudet hakemistossa ovat käytössä AllowOverride Mitkä konfiguraatiotiedoston säädöt voidaan vaihtaa '.htaccess'-tiedostolla Pääsyrajoitukset 32/69

11 Käyttäjätunnukset mod_auth - tuki yksinkertaiselle salasanaautentikoinnille Salasanat kulkevat verkossa selväkielisinä ellei sslkryptaus ole käytössä AllowOverride AuthConfig sallii autentikoinnin konfiguroinnit.htaccess -tiedostojen avulla Tarvitaan salasanatiedosto, joka sattuu olemaan syntaksiltaan samanlainen kuin /etc/shadow Apachen mukana tulee pieni komentoriviohjelma htpasswd jolla voi editoida salasanatiedostoja Salasanatiedoston voi laittaa dbm-tietokannan taakse AuthGroupFile <tiedosto> komennolla voi salasanatiedostoista löytyviä käyttäjiä jakaa ryhmiin 33/69

12 Lisää käyttäjätunnuksista Politiikkapäätös: onko apachen päästäminen käsiksi linux-asennuksen salasanatiedostoon riski? AuthUserFile <salasanatiedosto> Salasanatiedoston sijainti. Salasanatiedosto on syytä pitää paikassa, josta Apache ei suostu palvelemaan sitä ulospäin Require user userid userid2 Vaaditaan jokin listatuista käyttäjätunnuksista Require group group group2 Vaaditaan käyttäjän kuuluvan johonkin listatuista ryhmistä Require valid-user Vaaditaan vain salasanatiedostosta löytyvä validi salasana 34/69

13 SSL/TLS SSL Secure Sockets Layer TLS Transport Layer Security Tarvitaan jokin sertikaatti Ystävällinen FC3:n asennusskripti generoi sertifikaatin openssl:n käyttö ja erilaiset ssl-tunnelointikikat kenties yksi erillinen luentoaihe? Apachessa mod_ssl RSA/DSA-neuvottelu on raskas CPU-aikaa kuluttava prosessi Apache säilyttää valmiiksi neuvoteltuja salaisia avaimia välimuistissa SSL/TLS ei siis ole täysin tilaton protokolla SSL-protokolla sallisi kompressoinnin, mutta käytännössä sitä ei ole missään toteutettu 35/69

14 SSL-neuvottelu 36/69

15 SSL-konfigurointi Tiedostojen sijainti mod_ssl -paketin mukana tulee valmis SSLvirtuaaliserveri konfiguraatio SSLOptions lähinnä CGI-skripteille hyödyllisten SSL-ominaisuuksien konfigurointi StdEnvVars SSL-neuvottelun konteksti skripteille FakeBasicAuth Asiakassertifikaatti näyttää skriptille onnistuneelta http basic autentikaatiolta SSLPassPhraseDialog serverin sertifikaatin dekryptauksen konfigurointi SSLRequire yleiskäyttöinen työkalu vaadittujen SSL-ominaisuuksien valintaan SSLRequireSSL sallii pääsyn ainoastaan jos SSLyhteys on onnistuneesti neuvoteltu SSLVerityClient vaatii asiakkaalta sertifikaatin 37/69

16 CGI-skriptit CGI-skriptit todennäköisesti on suurin yksittäinen tietoturvariski, mikä Apache-ylläpitäjän täytyy ottaa huomioon Sallitaanko CGI-skriptien kirjoitus käyttäjälle Käytetäänkö suexec-mekanismia ScriptAlias Apachen ylläpitäjän hakemisto CGIskripteille AddHandler cgi-script.php.pl hakemistokohtaisesti valittavissa mitkä tiedostot suoritetaan cgi-skripteinä AddHandler toimii vain jos Option ExecCGI on käytössä AddHandler toimii myös.htaccess -tiedostoissa 38/69

17 Suexec CGI-skriptin suoritus skriptin omistajan oikeuksin Apache-asennuksessa on tällöin suexec -niminen setuidroot binääri, jonka avulla apache voi vaihtaa suorittavan prosessin käyttäjätunnuksen, mikäli joukko tietoturvavaatimuksia toteutuu suexec:in asennus on tehty tahallaan hankalaksi Suexec on käytössä jos ja vain jos CGI-skripti tuli mod_userdir apache-modulilta (ts. tavallisesti public_html-hakemisto) SuExecUserGroup user group CGI-skriptejä suorittavan käyttäjän valinta virtuaalipalvelimella 39/69

18 SSI - Server Side Includes SSI toteutettu apache-modulissa mod_include SSI on joukko html-tiedostoihin tageille upotettavia komentoja, jotka apache suorittaa SSI on kevyehkö menetelmä yhdistellä useasta lähteestä kokonaisia www-sivuja Options +Includes otetaan SSI-käyttöön AddOutputFilter INCLUDES.shtml tehdään SSIprosessointi kaikissa.shtml-päätteisissä tiedostoissa XBitHack on jos html-tiedostossa on x-bitti päällä tehdään SSI-prosessointi XbitHack full SSI-käsitellyn tiedoston aikaleimaan vaikuttaa ainoastaan lähdetiedoston aikaleima 40/69

19 SSI-komennot Syntaksi: <!--#element attribute=value attribute=value... --> Tiedostojen inkluusio: <!--#include virtual="/footer.html" --> Myös cgi-skriptien inkluusio, mikäli polun takana itse asiassa oli cgi-skripti Tavallisen komennon suorittaminen: <!--#exec cmd="date" --> <!--#exec cgi=/cgi-bin/foo.pl --> #exec cgi tapauksessa oletetaan että cgi-skripti generoi http-otsakkeet Myös muuttujien ja ympäristömuuttujien asetukset ja ehdollinen suoritus Kontekstitiedon liittäminen: milloin muutettu, tiedoston koko 41/69

20 Proxy-tuki Apachea voi käyttää normaalina www-proxyna Www-proxya konfiguroitaessa täytyy aina ottaa käyttöön jonkinlainen autentikointi: spämmerit, kräkkerit ja muuten vaan ikävät ihmiset löytävät avoimet proxyt väistämättä Reverse-proxy Ohjaa apachella tulleet http-pyynnöt jollekin toiselle wwwserverille Ohjaus edusta-serveriltä tausta-serverille Kuorman tasaus Apachen ulkopuolisten serverien liittäminen osaksi virtuaalista apache-url avaruutta, esim. tomcat:in tapauksessa 42/69

21 WebDAV Web-based Distributed Authoring and Versioning Tiedostojen etäpäivitys käyttäjille Dav On Davilla päivitettävät hakemistot syytä suojata salasanalla Apache ei tue talletettavan tiedoston omistajan asettamista miksikään muuksi kuin serverin käyttäjätunnukseksi 43/69

22 PHP FC3:n mod_php konfiguraatio: LoadModule php4_module modules/libphp4.so AddType application/x-httpd-php.php DirectoryIndex index.php.php päätteiset tiedostot suoritetaan php-tulkin kautta index.php tiedostot hakemistoissa Käyttää PHP:n konfiguraatiotiedostoa /etc/php.ini Jos käyttäjien omat kotisivut on apache konfiguraatiossa sallittu, kaikki käyttäjät voivat nyt suorittaa php-skriptejä apache-käyttäjän oikeuksin php.ini -tiedoston avulla voi yrittää pystyttää phphiekkalaatikon (safe_mode) PHP:n voi asentaa cgi-skriptitulkkina, jolloin suexec menetelmä on käytössä 44/69

23 Satunnaisia kikkoja Kompressointi lennossa: <Directory "/your-server-root/manual"> AddOutputFilterByType DEFLATE text/html </Directory> Merkistön valinta: AddCharset EUC-JP.euc Tiedostojen mime-tyyppi: AddType text/vnd.wap.wml.wml Serverin tilatieto: <Location /server-info> SetHandler server-info </Location> 45/69

24 Java-pohjaiset www-palvelut Jostain syystä javasta on tullut suosittu toteutuskieli www-palveluille Käytännössä java-pohjaiset palvelut tehdään (aina?) sunin J2EE-speksin päälle Enterprise Edition (J2EE) defines the standard for developing component-based multitier enterprise applications. Features include Web services support and development tools (SDK). Erityisesti J2EE-speksistä löytyy Servletit java-luokilla toteutettuja www-palveluita Jsp-sivut html-sivuja jotka sisältävät java-koodia (php:n vastine) Servlet- ja jsp-koodista ja erilaisista resursseista (staattiset sivut, kuvat) rakennetun www-sovelluksen speksi 46/69

25 J2EE-arkkitehtuuri Kuva lainattu sunin j2ee-tutoriaalista 47/69

26 Tomcat Tomcat on Servlet/Jsp container toteutus Sisältää www-serverin, jonka kautta www-palvelut saadaan tarjottua verkkoon On mahdollista käyttää apache www-serverinä mod_jkapache modulin avulla Tomcatin asennus Ladataan se johonkin hakemistoon bin/start-tomcat.sh bin/stop-tomcat.sh 48/69

27 Squid www-proxy Www-proxylla voidaan pitää usein käytettyjä sivuja välimuistissa organisaatiossa keskitetysti Sivut latautuvat nopeammin Säästetään www-liikenteessä, tyypillisesti n % Proxy voi toimia palomuurina pahan ulkomaailman ja intranetin välissä intranetissä ei tarvitse olla suoraa reittiä internettiin lainkaan http-porttikäytäviä muihin protokolliin (esim. Ftp) Squidi tukee pakkoproxy-konfiguraatiota Pakkoproxy sieppaa kaiken http-liikenteen proxylle käsiteltäväksi suoraan verkosta Organisaatiolle keskitetty paikka monitoroida wwwliikennettä Konfiguroitavat pääsyrajoitukset 49/69