Безопасно ли подгружать конф для nginx из директории пользователя?

Question

[Vincent1]

nginx + php-fpm
Предо мной стоит вопрос загружать в nginx конфигурационные файлы из папки пользователя (public_html) ?
Плюс в том, что пользователь сможет создавать нужные правила для своего сайта.
Большой минус в том, что если его файл настроек некорректный, то nginx не стартует. Еще вопрос в том сможет ли пользователь повлиять на работу сайтов других пользователей создав какие-либо записи в своем конфигурационном файле?

До этого у меня всегда был apache и там все просто с htaccess.

Answer 1

[sim3x]

Если "пользователю" дано право туда писать - нет, не безопасно

Пользователю вообще не нужно хотеть менять настройки веб-сервера

Еще вопрос в том сможет ли пользователь повлиять на работу сайтов других пользователей создав какие-либо записи в своем конфигурационном файле?

да, сможет. Если у веб сервера есть право писать в пользовательсике директории, то можно будет все там удалить

Если нужно дать пользователю писать конфиг, то пилим контейнеры (докер), в которых будет отдельный nginx и все остальное что им нужно и пусть убивают свой контейнер как хотят

Comments

[Vincent1]

Нет, пилить контейнер это лишнее в моей ситуации. Я всего лишь установил vestacp и в инструкции одного блогера он предлагает подгружать файлы *conf для nginx прямо из папки пользователя. Мне это показалось не безопасным, вот я и в раздумьях. С apache mpm itk было немного проще, там htaccess и пиши правила какие хочешь. А в nginx насколько я понял такой конфигурационный файл в папке пользователя будет работать глобально, что не приемлемо.

[sim3x]

Vincent1, помещайте "блогера" в блеклист за:
- использование "панелей"
- кривую настройку

С htaccess можно натворить столько же бед (если не больше)

[Sanes]

Vincent1,

он предлагает подгружать файлы *conf для nginx прямо из папки пользователя

Подгрузили уже на днях. Дырень размером со вселенную.

[Vincent1]

sim3x, Я сам админил всегда без панелей, просто достало ковыряние в файлах и написание скриптов:). Использование панели не смертный грех если пользоваться ей с включенными мозгами.

[Vincent1]

Sanes, о чем конкретно речь?

[Sanes]

Vincent1, https://www.opennet.ru/opennews/art.shtml?num=47503

[sim3x]

Vincent1, А разгребать сервер после похака легче чем ковыряться и писать скрипты?

[Vincent1]

Sanes, То что надо :) Я прям чувствовал, что не надо давать пользователю инклюдить свой конфиг.

[Vincent1]

sim3x, Да у меня как бы все жестко. Свежий PHP урезан везде где надо + openbasedir, сайты user-separated, бэкапы с мониторингом, что и когда изменилось, порты db,ftp закрыты, морду панельки я обязательно кастомизирую, чтобы сканером не найти. И главное на сервере только лишь мои сайты и только у меня доступ, обслуживать клиентов не предполагается.
Так что думаю все будет хорошо.

Answer 2

[Евгений Воробьев]

Только свои шаблоны.
Например:
Пользователь хочет сделать сжатие сайта,настроить редирект или что то еще.(нажимает на кнопку) твой скрипт видоизменяет конфиг nginxa (правильно видоизменяет)

Comments

[Vincent1]

Ну а как быть со всякими WP плагинами кеширования и прочими, которым необходимы разные правила? На апаче они без проблем меняли htaccess. С nginx такое не пройдет?

[Евгений Воробьев]

Vincent1, У меня стоит nginx в связке с apache и работают как настройки конфига nginx и настройки apache ( также включая настройки .htaccess )
Файлы .htaccess расположены в директории пользователя и могут быть им изменены.(включая плагины wordpess)
Конфигурационный файл nginx находится в директории недоступной для обычного пользователя и недоступной для плагинов wordpress

[Vincent1]

Евгений Воробьев, У меня тоже так раньше было, но как для себя понял единственный плюс апача - это htaccess. Я shared хостинг не ворочу, так что думаю можно обойтись без него. Главное скорость.

[Евгений Воробьев]

Vincent1, Чем Вы сейчас занимаетесь ?
Заходите в гости лучше со смартфона

main-host.ru

Answer 3

[Sanes]

Редактирование Nginx нельзя разрешать пользователю.

Answer 4

[Пума Тайланд]

ну конечно же нельзя
только на неделе же такая уязвимость нашлась в панели веста

Answer 5

[Михаил Григорьев]

Безопасно ли подгружать конф для nginx из директории пользователя?

Нет это не безопасно, более того - это опасно! Не делайте так!

Если хочется чтобы пользователи сами писали редиректы, то поставьте бесплатную панель хостинга ISPConfig, в ней есть нужный вам функционал.