Re: OT: Sicherer Webserver - Bitte wie?

Bernd <bernd(at)mynet.at> wrote:
> On Tue, 2005-05-17 at 15:27 +0200, Oliver Fromme wrote:
> > Davon abgesehen würde ich empfehlen, das PHP-Modul im
> > Apache abzuschalten. Ich kann mir nicht vorstellen, daß
> > jemand für eine private Homepage zwingend (und mit sinn-
> > vollem Einsatz) PHP benötigt und dabei noch genau weiß,
> > was er tut. Wenn sich wer beschwert, drück ihm einen
> > HTML-Editor in die Hand und sag ihm, er soll gefälligst
> > richtige Webseiten schreiben. ;-)
>
> Das mit dem HTML Editor wär mir auch die liebste Lösung, bring ich aber
> nicht durch :-)

Wieso, was heißt das, »bring ich nicht durch«?

Deiner Beschreibung nach betreibst Du einen privaten Server
in Deiner Freizeit und mit Deiner Knete. Und Du bietest
Freunden kostenlos Platz für Homepages an. Dann haben die
keine Ansprüche zu stellen. Der Server gehört Dir, Du bist
der Boss-of-the-box, und wenn Du PHP sperrst, dann gibt's
halt kein PHP. Aus die Maus.

Wenn Du dagegen Geld für den Betrieb nimmst, sieht die Lage
wieder ganz anders aus (vor allem rechtlich). Dann ist das
kein privater Betrieb mehr, sondern ein gewerblicher, und
in dem Fall sollte es auch eine vertragliche Grundlage ge-
ben, in der die Art der Dienstleistung festgelegt ist, und
ob z.B. auch PHP zur Verfügung gestellt wird.

> Deshalb hab ich mich auch schon fix entschlossen die Lösung mit den
> Jails zu machen. Einziges Problem ist dass mir die gesamte Geschichte
> mit Reverse Proxy usw noch vollkommen unklar ist! Da blick ich leider
> (noch) nicht durch, damit ich jedem Jail ne eigene IP geben kann, diese
> aber über eine offizielle IP erreichbar sind.

Ist eigentlich ganz einfach. Die Kiste hat nur eine offi-
zielle IP-Adresse (sagen wir mal 1.2.3.4), wo auf Port 80
kein normaler Apache, sondern ein sogenannter Reverse-Proxy
lauscht. Das kann ein Squid sein (viele Features, aber
eher schwergewichtig) oder ein Apache mit mod_proxy (sollte
für diesen Fal genügen). Der nimmt die Anfragen entgegen
und entscheidet dann, für welchen virtuellen Server die An-
frage ist, und leitet die dann einfach an den jeweils zu-
ständigen Apache in seinem Jail weiter.

Die einzelnen Apachen haben in ihren Jails jeweils eine
eigene, interne IP-Adresse. Das kann eine RFC1918-Adresse
sein (z.B. 10.1.1.z), aber auch eine localnet-Adresse
(z.B. 127.1.1.x) -- letzteres wäre evtl. sogar noch besser,
weil sie nicht »versehentlich« geroutet wird oder sonstwie
aus einem Leck austreten kann. Für die Jail-Apachen kannst
Du ebenfalls Port 80 oder auch irgendeinen andern nehmen --
da nur der Reverse-Proxy drauf zugreift, ist das irrelevant.

Gruß
   Olli

-- 
Oliver Fromme, secnetix GmbH & Co KG, Oettingenstr. 2, 80538 München
Any opinions expressed in this message may be personal to the author
and may not necessarily reflect the opinions of secnetix in any way.
"It combines all the worst aspects of C and Lisp:  a billion different
sublanguages in one monolithic executable.  It combines the power of C
with the readability of PostScript."
        -- Jamie Zawinski, when asked: "What's wrong with perl?"
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-bsd-questions" in the body of the message