Apache php-fpm изолирование сайтов?

Question

[kiranananda]

Добрый день.

Как можно изолировать сайты находящиеся на одном сервере друг от друга? Интересует как php-fom так и апач. Например если ломают один сайт, что бы к другому рядом доступа не имели.

Сейчас только одна мысль, каждый сайт в своем докере, но не знаю насколько это хорошо.

Answer 1

[Sanes]

Apache+php-fpm. Прекрасно изолируется пулами, запущенными от разных пользователей.

<VirtualHost 127.0.0.1:8080>
    ServerName {{ username }}.loc
    ServerAlias {{ domains }}
    # ServerAlias example.*.xip.io

    DocumentRoot /home/{{ username }}/www

    <Directory /home/{{ username }}/www>
        Options -Indexes +FollowSymLinks +MultiViews
        AllowOverride All
        Require all granted
    </Directory>

    <FilesMatch \.php$>
        # 2.4.10+ can proxy to unix socket
        SetHandler "proxy:unix:/var/run/php/php{{ php }}-fpm-{{ username }}.sock|fcgi://localhost/"

        # Else we can just use a tcp socket:
        # SetHandler "proxy:fcgi://127.0.0.1:9000"
    </FilesMatch>

    ErrorLog ${APACHE_LOG_DIR}/{{ username }}-error.log

    # Possible values include: debug, info, notice, warn, error, crit,
    # alert, emerg.
    LogLevel warn

    # CustomLog ${APACHE_LOG_DIR}/example.com-access.log combined

</VirtualHost>

Comments

[kiranananda]

То есть на каждый сайт отдельный пользователь? С точки зрения фтп и обслуживания это ужасно не удобно будет :(

[Дмитрий Свиридов]

kiranananda, ftp-то Вам зачем?

[Sanes]

kiranananda, один сайт, один пользователь. Нормально будет. FTP клиенты умеют работать с несколькими соединениями.

[kiranananda]

Фтп к тому что плодить кучу аккаунтов, у меня грубо штук 20 сайтов.

я тут немного неверно выразился nginx+apache+modphp и nginx+php-fpm

[kiranananda]

Просто возьмем бегет к примеру, они говорят что сайты одного аккаунта изолированы. Но в то же время пользователь 1.

[Sanes]

kiranananda, а с докером не наплодишь аккаунтов?

[kiranananda]

Sanes, неа, там контейнеры тока, а пользователя можно одного на всю систему оставить...

[Sanes]

kiranananda, не забивай голову. PHP-FPM в режиме один сайт, один пользователь. Можешь на одного пользователя повесить, если хочешь.

[kiranananda]

Sanes судя по этому решению php-fpm тоже будет запущено столько экземпляров сколько пользователей нужно? Просто это в рамках одного сервиса?

[Sanes]

kiranananda, и какой из этого толк, если права пользователя распространяются на соседние сайты?
open_basedir можешь в пуле включить, но будет работать медленней. Есть еще настройка chdir, но с ней обычно не заморачиваются.

[kiranananda]

Ну если на одного пользователя повешу то файлы не изолируются...

[Sanes]

kiranananda, поэтому и надо запускать какждый сайт от отдельного пользователя.

[kiranananda]

Sanes Спасибо, пусть будет так :). Подождем еще чуток может кто то предложит еще варианты и отмечу решением...

Answer 2

[kiranananda]

Для себя все таки решил через докер. По мне более надежно и гораздо удобнее работать с фтп. Каждый сайт отдельный контейнер. Думаю теперь можно спать спокойно. Заодно и почтовик туда засунул, что бы мололи...

Comments

[Sanes]

Жесть.

[kiranananda]

Для меня сложнее с пользователями замарчиваться. А так суть та же получается. 1 процесс 1 пользователь. Ну в докере ладно, на 1 процесс больше, 2 процесса итого в памяти, один мастер и второй уже рабочий. Но поскольку сайты посещяемые апач все равно расплодиться до нужного количества процессов. К тому же я не очень люблю теперь на голом линухе что то стартовать. Не секьюрно считаю. А добавлять каждый раз нового пользователя в докере, это же его стопнуть значит надо, все веб сервисы остановятся, пользователя добавить, образ пересобрать.... А без пересборки образа это все потерять можно легко. Вообщем время затраты я думаю будут примерно равны. Ведь теперь мне нужно только скопировать нужный файл, поменять пути до сайта и запустить процесс. Понятно если сайтов 1000 на хосте такой способ не идеален. Но пока других вменяем путей я не вижу. Раньше было сделано так php_admin_value open_basedir = и php_admin_value upload_tmp_dir = ... Не знаю насколько этот способ безопасен поэтому с переездом хостинга решил перестраховаться.

[kiranananda]

А так докер это по сути chroot продвинутый. Вообщем я за адекватную дискуссию...

[kiranananda]

Вот что бегет сделали. Но это не повторить...

Мы значительно повысили безопасность сайтов на нашем хостинге, изолируя их друг от друга в рамках одного хостинг-аккаунта. Если вирусы или злоумышленники, добрались до одного сайта, то получить доступ к остальным они не смогут.

Уникальная разработка на основе POSIX ACL и доработки собственного ядра Linux позволила сделать разграничение сайтов незаметным для пользователей.

[Sanes]

kiranananda, права и пользователи не просто так придуманы.

[kiranananda]

Sanes, да я у же не первый год с линухами работаю, знаю эти все вещи конечно же :). Вопрос стоит в удобстве и сколько за это удобство придется платить, как временем так и ресурсами. В свое время еще лет 8 назад когда работал с freebsd и открыл для себя jail понял, что все сервисы должны быть в своих клетках. Это разумно даже если за это придется платить. Докер или chroot это система более для 1 одного сервиса, который запущен в рамках текущего ядра и обеспечивает его надежную изоляцию от хостовой системы...

С точки зрения конфигурации и обслуживания хостинга система с докерами проще. Так как еще раз повторюсь я бы все равно засунул в докер и апач и фпм, просто по факту. Мускуль тоже в докере. Нефиг им делать на хостовой машине :). Где то что то забыл, где то права не подправил и все, считай опытный взломщик легко это найдет...

Но для меня создавать новый аккаунт для каждого сайта более проблематичен. Так как надо настроить сам апач, надо добавить пользователя, надо настроить Nginx, надо остановить контейнер и перебрать его что будет простой и потом надо настроить фтп и надо настроить на локальной машине фтп клиент.
В схеме с докерами, настраиваем только 1 файл докера путем замены путей и Nginx . Стартуем его и все. Все остальное настроено и работает :). Да получаем некий перерасход и то не факт что получаем. Конечно для хостинга с 1000 сайтами я бы что то подумал, но это уже бизнес, там можно и php было бы пропатчить или еще что то, что обеспечило бы работу сайтов клиента на 1 аккаунте. И даже в этом случае 1 аккаунт клиента я бы все равно засунул в докере, только это был бы не 1 сайт, а несколько. Софт ломают время от времени и это дополнительная защита что бы можно было спать спокойно :)

А так конечно ждем когда сам php предложит надёжный механизм изоляции, это было бы идеально. Ведь тот же мускуль даже мыслей не вызывает для каждого свой запускать :) или Nginx ). Он один для всего сервака...

[Sanes]

Это паранойя. И как же хостинги живут без пододобных извращений...
Откройте для себя Ansible чтоль, если такие проблемы с конфигурацией.
https://bitbucket.org/Drobkov/userplus-webserver-u...

[kiranananda]

Насчет паранойи согласен :). Ну как хостинги живут. Если на 1 аккаунте 10 сайтов и 1 сайт поломали будут ко всем доступ иметь. У Бегета для этого сделаны патчи ядра, что бы был 1 фтп доступ ко всем. А так же попадалась инфа в сети, что каждый аккаунт так же в докере находиться (не сайт а аккаунт), на него же можно и ссх доступ дать и не переживать, что юзер что то поломаем в хост системе. У других не знаю, надо тестировать мне лень :). Но все хостинги, где я хостился предоставляют 1 фтп ко всем сайтам...
С Ansible все понятно можно и скрипты написать это не вопрос. Просто больше всего мне не нравиться именно много фтп аккаунтов именно в этом загвоздка, все остальное никаких проблем... Если бы можно было к схеме с пользователями прикрутить 1 фтп аккаунт я бы так и сделал...