Какие права безопасно ставить на корень?

Да, только вот у меня у пользователей есть доступ к консоли по SSH, обрубать я его не хочу.
На одном сервере видел следующее:

user@someserv:/ [0] $ ls -l
ls: cannot open directory '.': Permission denied

И права на корень:

getfacl: Removing leading '/' from absolute path names
# file: .
# owner: root
# group: root
user::rwx
group::--x
other::--x

Посмотрел у себя на сервере: при входе в консоль можно перейти в корень, и (по крайней мере) читать системные файлы

webtest@other:/$ ls -l
total 80
drwxr-xr-x    2 root      root       4096 Jul 30 06:45 bin
drwxr-xr-x    2 root      root       4096 Apr 12  2016 boot
drwxr-xr-x   13 root      root       3920 Aug  4 10:07 dev
drwxr-xr-x   95 root      root       4096 Aug  7 10:13 etc

webtest@server:/$ cd /opt
webtest@server:/opt$ ls -l
total 12
drwxrwxr-x 14 root root 4096 Jul 28 09:53 mailcow-0.13.1
drwxr-xr-x  2 root root 4096 Jul 26 16:50 roundcube

Можно ли запустить Nginx от root?

Можно дать пользователю www-data права r-x на /home и все папки ниже /home через ACL
Тогда nginx сможет читать статику, а php работает под своим отдельным пользователем(каждый сайт от своего пользователя) и вирус не сможет получить доступ к файловой системе вне корня сайта.

Можно ли запустить Nginx от root?

Ульрих: сайты будут разные, и почти все что-то пишут в каталог, поэтому запретить запись в конфиге сайта нецелесообразно. Apache у меня тоже работает в mpm-itk, просто я еще Nginx перед Apache использую, чтобы снизить нагрузку.

Можно ли запустить Nginx от root?

Ульрих: Странно, я думал, что в случае компрометации сайта злоумышленник получит доступ к веб-серверу от имени пользователя, от которого работает PHP на зараженном сайте.
Если моя догадка верна, то будет правильным назначить пользователю www-data права r-x на папку с сайтом и все директории в пути до этой папки. Тогда Nginx сможет читать статику, а вирус останется в пределах зараженного сайта.

Можно ли запустить Nginx от root?

pygame: php работает под отдельным не root пользователем, поэтому скрипты видят только необходимые ресурсы.

Можно ли запустить Nginx от root?

Как вариант - в ACL дать привилегии r-x пользователю www-data на директорию с сайтом

Сможет ли пользователь получить доступ к папке?

Не совсем. Владельцем папки /home/user/web/954 является пользователь user.
Дополнительно я добавил ACL права rwx на директорию /home/user/web/954 для пользователя user_954.
+ еще на /home хочу поставить 700 (чтобы пользователи не смогли ходить по чужим папкам)
Вопрос: сможет ли пользователь просматривать эту папку и изменять её содержимое?

Как в php прописать класс css?

Alexander Pushkarev: Исправил, не заметил точку после знака равенства

Почему ACL не работает?

Андрей Буров:

root@server:/# getfacl /home/u26
getfacl: Removing leading '/' from absolute path names
# file: home/u26
# owner: u26
# group: u26
user::rwx
group::r-x
other::r-x
default:user::rwx
default:user:superb:rw-
default:group::r-x
default:mask::rwx
default:other::r-x

Почему ACL не работает?

Андрей Буров:

root@server:/# tune2fs -l /dev/vda|grep acl
Default mount options:    user_xattr acl

Почему ACL не работает?

verdex: И сама команда тоже выдала ошибку

root@server:/home/u26# sudo mount -o remount,acl /dev/vda
sudo: unable to resolve host server

Почему ACL не работает?

Андрей Буров: По прежнему не работает

/dev/vda on / type ext4 (rw,noatime,errors=remount-ro,stripe=256,data=ordered)

root@kaynovahcp:/home/u26# mount| grep acl
root@kaynovahcp:/home/u26#

Почему ACL не работает?

ky0:

root@server:/home/u26# mount |grep acl
root@server:/home/u26#

Почему ACL не работает?

ky0: Спасибо, поправил

/dev/vda      /             ext4     defaults,acl,noatime,errors=remount-ro  0 1

mount -a не ругается, но ACL все еще не работают.

Почему ACL не работает?

Так тоже не работает.

/dev/vda      /             ext4      defaults,acl,noatime, errors=remount-ro  0 1

Почему возникает ошибка при использовании виртуальных почтовых ящиков Postfix?

Все выяснил.
Оказывается, anotherdomain.ru (куда я отправлял письмо) был в MySQL таблице, откуда Postfix забирает почтовые домены.

Почему возникает ошибка при использовании виртуальных почтовых ящиков Postfix?

Rsa97: На зарубежном форуме нашел похожую проблему

Valid recipient addresses are listed with the virtual_mailbox_maps parameter. The Postfix SMTP server rejects invalid recipients with "User unknown in virtual mailbox table". If this parameter value is empty, the Postfix SMTP server accepts all recipients for domains listed in $virtual_mailbox_domains.

Т.е. получается, что используя виртуальных пользователей в MySQL мне необходимо в таблице с виртуальными пользователями прописывать валидные адреса, куда можно отправлять почту. Бред какой-то.

Почему возникает ошибка при использовании виртуальных почтовых ящиков Postfix?

Почту настраиваю согласно этой статье

Почему возникает ошибка при использовании виртуальных почтовых ящиков Postfix?

Rsa97: Ошибку выдает мой сервер

Aug  2 17:43:20 mail postfix/submission/smtpd[20307]: NOQUEUE: reject: RCPT from ppp_MY_IP.pppoe.mtu-net.ru[MY_IP_HERE]: 550 5.1.1 <[e-mail]>: Recipient address rejected: User unknown in virtual mailbox table; from=<[e-mail]> to=<[e-mail]> proto=ESMTP helo=<[192.168.43.202]>

Почему возникает ошибка при использовании виртуальных почтовых ящиков Postfix?

Rsa97: Где может быть ошибка?