DNS dynamique, Apache, virtual host et suexec

Important

Ce document s'adresse à des personnes ayant déjà une bonne connaissance d'apache, des cgi et de l'administration d'un système. Avoir déjà compiler son propre serveur apache et php est un pré requis.

On se concentre ici sur les produits que sont apache et php, il ne s'agit en aucun cas d'une procédure complète d'installation d'un serveur mutualisé. A vous d'adapter en fonction de votre environnement.

Les objectifs

Mon PC perso se comporte, lorsqu'il est allumé, comme un serveur WEB, serveur de Mail, et Firewall/Routeur. Je le rends accéssible depuis Internet via le DNS dynamique (dyndns.com).

J'ai décidé récemment de faire un produit permettant d'activer et de configurer simplement un firewall autour d'iptables (Netfilter). J'ai doté ce produit d'un petite interface de management (surtout des statistiques, le paramétrage étant réservé à root) via une interface HTTP.

Là j'ai rencontré 2 soucis, je ne voulais pas utilisée une URL de type ~firewall, ET je ne voulais que l'utilisateur par défaut des sites en développement ait accès au données du firewall.

De plus, je voulais doter mon PC d'une interface Web Mail (squirrelmail) accessible depuis une url du type mail.mon_domaine.dyndns.com.

Que faut-il mettre en oeuvre

Après quelques recherches sur le net, il apparaît qu'il faille faire 3 choses

• paramétrer son service de nom pour faire pointer les différents serveur sur la même adresse IP,
• mettre en oeuvre sur apache (1.3.33 sur ma Slackware Linux) des hôtes virtuels basés sur les nom,
• activé le module suexec de apache, pour permettre les changements d'identification pour le lancement de script.

Autant le paramétrage des hôtes virtuels sous apache est directement accessible via le fichier de configuration du serveur http, autant l'activation et la configuration du module suexec ne peut se faire que via la compilation. Ainsi l'équipe de développement d'apache envisage sereinement la mise en oeuvre de ce module en respectant quelques consignes de mise en oeuvre.

Le service de noms (hosts et DNS)

Utilisant un domaine dynamique fourni par dyndns.com, en mode statique (j'ai une ip fixe), j'ai juste activé les 'wildcard' sur mon compte (option 'Enable Wildcard'). Cela fonctionne aussi avec un service en IP dynamique.

Ensuite un petit man hosts pour définir les alias pour la résolution des noms en local, pris automatiquement en compte par la masquerade DNS pour le réseau privé local.

Activer SUEXEC

Fidèle à ma pratique, j'utilise toujours les .SlackBuild fournit dans les sources des packages pour recompiler les produits Slackware.

L'activation de SUEXEC, qui va permettre au démons apache d'effectuer le changement d'utilisateur avant de lancer le script CGI. En réalité un processus apache va lancer le programme suexec qui effectue le changement d'utilisateur et qui lance ensuite le script CGI.

Avant de continuer vous devez décider de comment sera architecturé votre serveur...

Architecturer son serveur

• Décider quel utilisateur lance apache : www_user dans la suite de cette doc (www, apache, nobody, ...)
• Décider de l'uid minimum et du gid minimum qui pourront lancer suexec (en fonction des uid/gid de vos utilisateurs qui peuvent développer des sites web). Nous les appelerons uid_min et gid_min dans la suite de ce document.
• Décider dans quelle dossier racine pourront se situer les scripts lancer par le wrapper, appelé www_home dans la suite de ce document (/web_user par exemple, tous vos utilisateurs pouvant lancer suexec auront un home dans un sous-dossier de cette racine).
• Décider dans quel sous-dossier de leur home, les utilisateurs pourront installer leurs scripts (public_html par défaut pour apache). Nous y ferons référence via www_userdir par la suite.

La compilation

# vi apache.SlackBuild

Modification de la variable TMP (début du script)
		TMP=$CWD/../TMP

Ajout des options suexec pour apache
		--enable-suexec \
		--suexec-caller=www_user \
		--suexec-uidmin=uid_min \
		--suexec-gidmin=gid_min \
		--suexec-safepath=/bin:/usr/bin:/usr/local/bin \
		--suexec-userdir=www_userdir \
		--suexec-umask=022 \
		--suexec-docroot=www_home

# ./apache.SlackBuild

# apachectl stop

# cd ../TMP

# upgradepkg --reinstall apache-*.tgz

# apachectl start

Et pour PHP ?

La solution que j'ai trouvé pour PHP consiste à ne plus utiliser le module apache php, mais à lancer les scripts PHP en mode CGI.

Important : l'option --enable-discard-path est incompatible avec --enable-force-cgi-redirect.

Pour réaliser la compilation et l'installation, se reporter à ce document : Installer php4 et php5 sur une Slackware Linux

Il faut faudra néanmoins réaliser les adaptations suivantes :

# vi php/crabs_php.SlackBuild

    
modifier le prefix d'installation
    ./configure --prefix=/usr/php4 \
    
modifier le sysconfdir
    --sysconfdir=/usr/php4/etc
    
supprimer la ligne --enable-discard-path
    
Commenter les lignes de compilation du module
# php_configure --disable-static --with-apxs=/usr/sbin/apxs
# make -j3
# make install INSTALL_ROOT=$PKG
# make distclean

# PHP likes to install Pear with some strange permissions.
# chmod 755 $PKG/usr/bin/pear
    
On fera une installation directe
# Make the standalone interpreter:
php_configure --enable-force-cgi-redirect --enable-fastcgi --enable-pcntl --enab
le-sigchild
make -j3
exit
make install-cli INSTALL_ROOT=$PKG
   

# ./crabs_compil.sh

# cd php

# make install

# cd ../php-5.*

# make install

La configuration d'apache

    #LoadModule php4_module        libexec/apache/libphp4.so
    #AddModule mod_php4.c
    #AddType application/x-httpd-php .php

    AddHandler php4-cgi .php
    AddHandler php5-cgi .php5
    Action php4-cgi /cgi-bin/php4.cgi
    Action php5-cgi /cgi-bin/php5.cgi

    UserDir www_userdir

# mkdir /usr/php4/etc /usr/php5/etc

# apachectl restart

Dès maintenant, une url de type ~user, permet de faire le changement automatique d'uid pour les cgi et les scripts php (si vous avez autorisé le lancement des cgi pour vos utilisateurs).

prérequi pour mettre en oeuvre les 'virtuals hosts'

Tout ce passe dans le fichier de configuration d'apache.

NameVirtualHost *:80

<VirtualHost *:80>
      ServerName localhost
      DocumentRoot votre_DocumentRoot
</VirtualHost>

Tous les ajouts des virtuals hosts se feront après ces lignes.

Ajouter une url de type mail.votre.domaine

Dans ce cas-là, il n'y aura pas de changement d'utilisateur. A vous de paramétrer votre service DNS, je donne l'info en utilisation DnsMasq.

# vi /etc/hosts

ip_réseau_local nom_normal nouveau_nom nouveau_nom.votre.domaine

# vi httpd.conf

<VirtualHost *:80>
   ServerName nouveau_nom
   ServerAlias nouveau_nom nouveau_nom.domaine
   DocumentRoot DocumentRoot_de_ce_serveur
</VirtualHost>

Ajouter une url de type nouveau.domaine

Pour l'exemple, le nouveau domaine est géré par un utilisateur différent de l'utilisateur faisant tourner apache. L'exemple repose sur l'utilisation de DynDNS et DnsMasq. Dans la réalité, il faut gérer au niveau DNS une redirection du nouveau domaine vers l'adresse IP de votre serveur.

# vi /etc/hosts

ip_réseau_local nom_normal user nouveau_domaine

# vi httpd.conf

<VirtualHost *:80>
   ServerName user
   ServerAlias user nouveau_domaine
   DocumentRoot /home/www_userdir
   Action php4-cgi /cgi-bin/user/php4.cgi
   Action php5-cgi /cgi-bin/user/php5.cgi
   User user
   Group group
</VirtualHost>

# mkdir cgi-bin/user

# cp /usr/php4/bin/php cgi-bin/user/php4.cgi

# cp /usr/php5/bin/php cgi-bin/user/php5.cgi

# chown -R user:group cgi-bin/user

# chmod -R u+rwx cgi-bin/user

Améliorations ?

Sachant que suexec interdit l'utilisation de lien symbolique, on peut écrire des 'wrapper' pour php4.cgi et php5.cgi. La performance déjà dégradée de PHP par l'utilisation du mode CGI n'en sera pas améliorée, mais il permettra d'économiser presque 10Mo par utilisateur.

Sur mon serveur de développement, j'autorise l'utilisation de tous les cgi pour les utilisateurs, faut-voir s'il n'est pas possible de n'autoriser que les php*.cgi.

Exemple de 'wrapper' pour php4.cgi

#include <stdlib.h>
#include <unistd.h>
#include <string.h>
#include <stdio.h>
#include <errno.h>

char*   php4_cgi = "/usr/php4/bin/php" ;
int main( int argc, char**argv )
    {
    char buff [2048]        ;
    extern int errno ;
    execl( php4_cgi, php4_cgi, NULL ) ;
    snprintf(buff,sizeof( buff ),"execl(%s):%s\n",php4_cgi,strerror(errno));
    write( 2, buff, strlen( buff ) ) ;
    exit(100) ;
    }