वेब एप्लिकेशन स्टैक की सुरक्षा में सुधार (LAMP वर्चुअलाइजेशन)

एक वेब एप्लिकेशन स्टैक से हमारा मतलब है कि बहुत सारे ओपन सोर्स सॉफ्टवेयर उत्पाद: एक ऑपरेटिंग सिस्टम, एक वेब सर्वर, एक डेटाबेस सर्वर और एक एक्जीक्यूटिव कोड वातावरण। सबसे प्रसिद्ध और रोज़ स्टैक LAMP है। यह मुक्त खुले स्रोत समाधानों के आधार पर वेब एप्लिकेशन स्टैक के लिए एक परिचित है। नाम इसके उत्पादों के पहले अक्षरों से बना है: लिनक्स (ऑपरेटिंग सिस्टम), अपाचे वेब सर्वर , MySQL डेटाबेस , और PHP (कभी-कभी पर्ल या पायथन)। सुरक्षा समस्याओं पर पहले से प्रकाशित सामग्री अनुशंसा करती है कि आप समर्पित सर्वर या वर्चुअल मशीन पर विभिन्न नेटवर्क सेवाएं रखें। यह सिस्टम के उन तत्वों को अलग कर देगा जो किसी हमलावर द्वारा हैक किए गए और हैक किए गए हैं यदि बाद में सेवा नेटवर्क के किसी एक लिंक में त्रुटियों का फायदा उठाने का मौका मिलता है। यह लेख उन सवालों का जवाब भी है जो अक्सर हमारे पाठकों द्वारा ई-मेल द्वारा हमें भेजे गए हैं। गाइड में, मैं समझाऊंगा कि भौतिक या आभासी सर्वरों के आधार पर एक समाधान का निर्माण कैसे करें जो डेटाबेस और कैशिंग की आवश्यकता वाले अनुप्रयोगों के लिए स्थिर और गतिशील सामग्री वितरित करने के लिए समान रूप से उपयुक्त हैं।

अनुवादक से:
लेखों की मूल श्रंखला का लेखक बेहद पढ़ा-लिखा और कठोर है। हम इसे जहां संभव हो, संक्षिप्त रखने और स्पष्टीकरण जोड़ने का प्रयास करेंगे, जहां लेखक खुद नहीं समझ पाता है कि वह क्या कहना चाहता है। अनुवाद पेशेवर वातावरण में स्वीकृत शर्तों और स्थिर अभिव्यक्तियों से कई विचलन की अनुमति देता है। अनुवादक व्यक्तिगत संदेशों के रूप में ऐसे मामलों में लिप्तता के लिए पूछता है, अगर जो खोजा गया है वह पाठ को समझने में मुश्किल बनाता है और लेखक की अज्ञानता को उजागर करता है।

दीपक: विशिष्ट और आंशिक स्थापना

सबसे अधिक संभावना है, आपका समाधान, एक एकल समर्पित या आभासी सर्वर के आधार पर बनाया गया है, इस तरह दिखता है:

  /                  +-----------------------------------------+                | Apache + PHP / Perl @ 75.126.153.206:80 |                | Mysql@127.0.0.1: 3306 ( UNIX ) |                | Pgsql@127.0.0.1: 5432 ( UNIX ) |                | Netfilter           |                +-----------------------------------------+                  ***  LAMP  ***                  : RHEL/CentOS/Debian/Ubuntu/*BSD/Unix                   : 4-8GiB ECC                  :    Intel / AMD                  : RAID-1/5 - SATA/SAS 

अगर, Apache वेब सर्वर से समझौता किया जाता है, तो क्या होगा? एक हमलावर आपके डेटाबेस, कैश, और सिस्टम या नेटवर्क के अन्य तत्वों तक भी पहुंच प्राप्त करेगा। इस मामले में, आपको सर्वर सेवाओं को निम्नानुसार अलग करना होगा:

 ////////////////////////// / / / //////////////////////////           \            \             ----------| vm00             75.126.153.206:80 - eth0             192.168.1.1       - eth1         +-----------------------------+         | -               |         |   (Firewall) |      eth0:192.168.1.10/vm01         +-----------------------------+     +----------------------+         |                                   | Lighttpd             |         +-----------------------------------+    |         |                                   | /var/www/static      |         |                                   +----------------------+         |         |                                    eth0:192.168.1.11/vm02         +-----------------------------------+-----------------------+         |                                   | Apache+php+perl+python|         |                                   | /var/www/html         |         |                                   +-----------------------+         |         |                                    eth0:192.168.1.12/vm03         +-----------------------------------+-----------------------+         |                                   | SQL              |         |                                   |Redis/Memcached  .. |         |                                   +-----------------------+         |         |                                   eth0:192.168.1.13/vm04         |                       (      RAID-10)         +-----------------------------------+------------------------+         |                                   | Mysql/pgsql    |         |                                   | @192.168.1.13:3306/5432|         |                                   +------------------------+         |         |                                   eth0:192.168.1.14/vm05         |    ( -    NFSv4   RAID-10)         +-----------------------------------+------------------------+                                             | NFSv4  Linux         |                                             | /export/{static,html   |                                             +------------------------+ 

आंशिक स्थापना के कई फायदे हैं:

• सुरक्षा
• scalability
• अनुकूलन
• उपयोग में आसानी
• आसान निगरानी

इस तरह की नेटवर्क इंटरैक्शन के लिए vm00 होस्ट सिस्टम के प्रारंभिक कॉन्फ़िगरेशन [ फेलियर [ vm00 स्तर पर वर्चुअल-आईपी]] के लोडिंग संतुलन के कारण उच्च उपलब्धता वाले क्षेत्र से, जैसे कि फेलओवर (सिस्टम के भिन्नात्मक भागों के चित्रों / कंटेनरों को स्थानांतरित करना) से उन्नत सुविधाओं को जोड़ें। , CDN, समान सिस्टम सेटअप के मामले में बहुत अधिक सुविधाजनक होता जा रहा है।

प्रत्येक वर्चुअल मशीन / सर्वर की भूमिकाएँ:

मशीनों के उद्देश्य के बारे में विस्तृत जानकारी निम्नलिखित है। एक वर्डप्रेस ब्लॉग, एक Drupal- आधारित वेबसाइट, या ऐसे सर्वरों पर होस्ट किया गया कस्टम एप्लिकेशन प्रति माह लाखों हिट आसानी से परोस सकता है।

यह कैसे काम करता है?

आइए देखें कि रिवर्स प्रॉक्सी सर्वर के साथ हमारा सिस्टम कैसे काम करता है। इस उदाहरण में, मैं प्रॉक्सी और HTTP सर्वर को फ़ायरवॉल में होस्ट करूँगा। (अंजीर देखें। 1)। वेबसाइट www.example.com को स्थिर IPv4 पते 202.54.1.1 पर होस्ट किया जाएगा, जिसे eth0 डिवाइस को सौंपा गया है। आंतरिक IP 192.168.1.1 eth1 को सौंपा गया है। यह हमारे रिवर्स प्रॉक्सी सर्वर का नोड है। शेष सर्वर स्थानीय नेटवर्क के अंदर हैं और सीधे इंटरनेट के माध्यम से पहुँचा नहीं जा सकता है।




हार्डवेयर या सॉफ़्टवेयर (ओपनबीएसडी / लिनक्स) होस्ट 202.54.1.1 के लिए फ़ायरवॉल नियम केवल पोर्ट 80 और 443 तक पहुंच की अनुमति देता है। अन्य सभी पोर्ट अवरुद्ध हैं। प्रत्येक वीएम नोड पर, iptables भी काम करते हैं और केवल आवश्यक बंदरगाहों तक पहुंच की अनुमति है। आपका रिवर्स प्रॉक्सी HTTP सर्वर पूल को निम्न प्रकार से परिभाषित करता है:

 ## - www.example.com ## upstream mybackend {      server 192.168.1.10:80; #server1      server 192.168.1.11:80; #server2      ....      ..      ..      server 192.168.1.100:80; # server100 } 

Apache और Lighttpd सर्वर vm05 पर कॉन्फ़िगर किए गए NFS सर्वर के माध्यम से फ़ाइलों तक पहुँचते हैं । Apache वेब सर्वर PHP के साथ काम करने के लिए कॉन्फ़िगर किया गया है। हमारा PHP एप्लिकेशन vm04 पर होस्ट किए गए डेटाबेस सर्वर से कनेक्ट करने के लिए कॉन्फ़िगर किया गया है। हमारा PHP एप्लिकेशन एक एमएमसी कैश सर्वर का उपयोग करके vm03 को अपने SQL कैश के रूप में उपयोग करता है।

नोट: आप सुरक्षा बढ़ाने के लिए फ़ायरवॉल के पीछे DMZ , और HTTP और अन्य सर्वर पर रिवर्स प्रॉक्सी सर्वर भी डाल सकते हैं। लेकिन इससे परियोजना की लागत बढ़ जाएगी।

बात करना बंद करो, मुझे सर्वर सेटअप प्रक्रिया दिखाएं

इस नोट में सूचीबद्ध अधिकांश क्रियाएं इस धारणा के साथ लिखी गई हैं कि वे रूट उपयोगकर्ता द्वारा CentOS 6.x / Red Hat Enterprise Linux 6.x bash कंसोल में किए जाएंगे। हालाँकि, आप सेटिंग्स को किसी अन्य * NIX- जैसे ऑपरेटिंग सिस्टम में आसानी से कॉपी कर सकते हैं।

• प्राथमिक अथवा प्रारम्भिक लक्षण
• चरण # 1: सेटअप / स्थापना: एनएफएस फ़ाइल सर्वर
• चरण # 2: सेटअप / स्थापना: MySQL डाटाबेस सर्वर
• चरण # 3: सेटअप / इंस्टॉलेशन: मेमेकैच्ड कैशिंग सर्वर
• चरण # 4: सेटअप / स्थापना: Apache + php5 वेब सर्वर अनुप्रयोग
• चरण # 5: सेटअप / स्थापना: स्टेटिक एसेट्स के लिए लाइटटैप वेब सर्वर </ a
  चरण # 6: सेटअप / स्थापना: Nginx रिवर्स प्रॉक्सी सर्वर