主页 / server / 问题 / 775839
Accepted
Bob Ortiz
Asked: 2016-05-11 02:54:42 +0800 CST

在 linux 服务器上隔离虚拟主机的最佳方法是什么？

  • 772

首先，我想知道将 Apache 的虚拟主机彼此隔离的最佳方法是什么。我想这也与 Linux 文件系统有关，因为在同一个 Linux 用户/组下拥有文件夹（/var/www/site1.com/public_html和文件）并不是一个好习惯。/var/www/site2.com/public_html

我发现了类似的帖子：Isolating Apache virtualhosts from the rest of the system，但注意到这是关于将虚拟主机与系统隔离开来。一个很好的做法，但不是我所说的。

我不想要任何site1.com可以访问文件的可能方式，site2.com如果可能的话，除了它自己的目录和子目录之外，文件系统也没有任何不必要的东西。

其次，chmod 对用户权限有什么影响。假设两个站点都在自己的用户和用户组中运行。但是site1.com有一个文件或目录的 chmod 权限为 777。将site2.com能够使用该文件/目录吗？

apache-2.2 filesystems security virtualhost

1 个回答

  1. Best Answer

    不是最好的解决方案，但可能是其中的一部分，也是最简单的：使用 suExec。

    例如，使用 suExec，您可以轻松地为每个虚拟主机分配不同的 Unix 用户（最常见的场景）。如果您将这些用户的家设为私有（模式 0700），那么一开始这是一个很好的隔离。

    它们没有被 chroot，并且仍将共享 /tmp，查看其他正在运行的进程等。但是您将至少比绝大多数配置非常糟糕的 LAMP 服务器高出一级。

    还有一些技术优点/缺点：

    • 亲：消除“ftp-user vs. www-data”用户，许多人最终将他们所有的文件和文件夹chmod到全局写入（模式0777），以便HTTP上传工作；这里shell登录和Apache共享同一个用户
    • con ：出于同样的原因，Apache 现在可以从您的用户帐户中修改任何文件（数据、代码）；对于那些希望从其后台更新 Wordpress 的人来说，这是一个先决条件，但如果你认真对待安全性并知道如何真正维护 webapps，那就不行了
    • con : 当一个 Apache worker su 给某个用户时，它不能被重用于下一个不同 vhost/user 的传入 HTTP 请求；因此，如果您有很多虚拟主机/用户（独立于使用其 mpm-worker 和通过 FastCGI、HTTP 反向代理等在进程外运行代码的非常好的想法），该解决方案的扩展性不会很好

    关于你的第二个问题：使用私人住宅，你得到你想要的（chmod 0700 ~toto），但如果她愿意（运行 chmod 0777 ~toto），用户本身可能会公开自己的住宅，甚至可以全局写入。因此，这取决于您对服务器用户和应用程序的信任。

    • 4

相关问题