🛌🏻 🐻 🌗 हम वेब एप्लिकेशन स्टैक की सुरक्षा बढ़ाते हैं (LAMP वर्चुअलाइजेशन, चरण 1/6) 🏇🏾 👂🏻 🚟

Apache / Lighttpd / Nginx वेब सर्वर एक्सेस को नेटवर्क फाइल सिस्टम (NFS) फाइलों में कॉन्फ़िगर करना

हम वर्चुअलाइजेशन पर पाठों की एक श्रृंखला का अनुवाद करना जारी रखते हैं और www.cyberciti.biz से एक LAMP सर्वर सेट करते हैं और पहले व्यावहारिक कदम पर आगे बढ़ते हैं - एक नेटवर्क फ़ाइल संग्रहण बनाते हैं

लिनक्स और यूनिक्स के लिए NFSv4.0 (नेटवर्क फाइल सिस्टम) नेटवर्क शेयर बनाना अन्य Apache / लाइटटैप / Nginx नेटवर्क शेयर बनाने से बहुत अलग नहीं है। ऐसा करने के लिए, हमारे फ़ाइल सर्वर / वीएम vm05 की निम्न सेटिंग्स आईपी पते 192.168.1.14 के साथ बनाएं ।

लिनक्स एनएफएस सर्वर: सिंक्रोनस या एसिंक्रोनस

आपको अपने लिए सबसे उपयुक्त NFS सर्वर ऑपरेटिंग मोड का चयन करना होगा। एसिंक्रोनस मोड ( एक सिंक विकल्प ) में, रिकॉर्डिंग समाप्त होने या डिस्क फ़ाइलों में परिवर्तन (यदि रिकॉर्डिंग एक्सेस के समय होती है) की प्रतीक्षा किए बिना सर्वर अनुरोधों की प्रतिक्रियाएं होती हैं। इस मोड का प्रदर्शन अधिक है, लेकिन यह डेटा अखंडता की लागत और सर्वर के किसी न किसी रीबूट (सिस्टम की विफलता या अन्य कारणों की स्थिति में) डेटा हानि या क्षति के कारण हो सकता है। ऑपरेशन के सिंक्रोनस मोड ( सिंक विकल्प ) में, सर्वर से अनुरोध की प्रतिक्रिया केवल रिकॉर्डिंग के अंत में होती है। हम दृढ़ता से अनुशंसा करते हैं कि आप इस का उपयोग करें - स्थानीय अपाचे / लाइटटैप / नग्नेक्स होस्ट्स पर सक्षम एनएफएस कैशिंग के साथ दूसरा सिंक्रनाइज़ेशन मोड, अर्थात। vm 01 और vm 02 सर्वर।

कैसे एक "साझा" नेटवर्क संसाधन बनाने के लिए

सबसे पहले, yum मैनेजर का उपयोग करते हुए, NFS सर्वर सॉफ्टवेयर पैकेज स्थापित करें:

# yum groupinstall "NFS file server"

या तो ...

 # yum install nfs-utils nfs4-acl-tools portmap

... और स्थापित सेवाओं को सक्रिय करें:

 # chkconfig nfs on # chkconfig rpcbind on # chkconfig rpcidmapd on # chkconfig nfslock on

एक NFS सर्वर उपयोगकर्ता खाता बनाएँ।

एनएफएस सर्वर के लिए फ़ाइल साझाकरण को व्यवस्थित करने के लिए, हम अपाचे उपयोगकर्ता क्रेडेंशियल्स का उपयोग करेंगे। समान खातों का उपयोग vm01 , vm02 , vm03 और vm05 सर्वर पर किया जाएगा । NFSv4 सर्वर पर एक उपयोगकर्ता खाता बनाने के लिए, हम useradd कमांड का उपयोग करते हैं :

 ################################################################################## ### ,    CentOS/RHEL,     apache      ### ###  UID/GID 48,   apache   vm01  vm02         ### ###                                                           ### ################################################################################## # /usr/sbin/groupadd -g 48 apache # /usr/sbin/useradd -s /sbin/nologin -g 48 -u 48 -M -d /var/www apache # /usr/bin/passwd -l apache

Apache2 वेब सर्वर को NFSv4 सर्वर पर स्थापित न करें।

/etc/idmapd.conf nfs सर्वर को कॉन्फ़िगर करना

NFSv4 आईडी सेवा नाम डेमॉन (rpc.idmapd) NFSv4 क्लाइंट और सर्वर कर्नेल प्रदान करता है, बाद वाले को अनुरोधों के माध्यम से जोड़ता है और आईडी को नाम और आईडी को आईडी में परिवर्तित करता है। डेमॉन को कॉन्फ़िगर करने के लिए, /etc/idmapd.conf फ़ाइल संपादित करें:

 # vi /etc/idmapd.conf

निम्न सेटिंग्स स्थानीय NFSv4 डोमेन के लिए निर्दिष्ट की जाएंगी। डिफ़ॉल्ट DNS होस्ट नाम को आपके होस्ट के डोमेन नाम से बदला जाना चाहिए।

 Domain = cyberciti.biz

यह भी सुनिश्चित करें कि मैपिंग सेटिंग्स निम्नानुसार लिखी गई हैं:

 [Mapping] Nobody-User = nobody Nobody-Group = nobody

फ़ाइल को सहेजें और बंद करें।

फ़ाइल सिस्टम साझाकरण

नेटवर्क शेयर / var / www / स्थिर और / var / www / html बनाने के लिए , इन चरणों का पालन करें: NFSv04 सर्वर पर वांछित निर्देशिका बनाने के लिए mkdir कमांड का उपयोग करें :

 # mkdir -p /exports/{static,html}

हम निर्मित निर्देशिकाओं के बीच / निर्यात निर्देशिका के बीच संबंध स्थापित करेंगे :

 # mount --bind /var/www/html /exports/html # mount --bind /var/www/static /exports/static

फ़ाइल संपादित करें / etc / fstab :

 # vi /etc/fstab

इसमें निम्नलिखित प्रविष्टियाँ जोड़कर:

 /var/www/html /exports/html none bind /var/www/static /exports/static none bind

फ़ाइल को सहेजें और बंद करें। अब फ़ाइल / etc / निर्यात संपादित करें:

 # vi /etc/exports

निम्न पैरामीटर इसमें जोड़ें:

 ################################# ###   vm01  vm02 ### ### by vivek Thu June 21,2012 ### ################################# ##   nfs, fsid=0  NFSv4 ## /exports  192.168.1.10(rw,fsid=0,no_subtree_check,async) 192.168.1.11(rw,fsid=0,no_subtree_check,async) ###  NFS   www.cyberciti.biz ### /exports/html  192.168.1.10(rw,no_subtree_check,async,nohide) 192.168.1.11(rw,no_subtree_check,async,nohide) #      «-» (ro).                   # #     ,    «--» (rw)# /exports/static 192.168.1.10(ro,no_subtree_check,async,nohide) 192.168.1.11(ro,no_subtree_check,async,nohide)

फ़ाइल को सहेजें और बंद करें। अब आप nfs और संबंधित सेवाएं शुरू कर सकते हैं :

 # /sbin/service rpcbind start # /sbin/service rpcidmapd start # /sbin/service nfslock start # /sbin/service nfs start

NFSv04 सर्वर को सुरक्षित करना

आप एक फ़ायरवॉल स्थापित कर सकते हैं और लिंक में दी गई स्क्रिप्ट के अनुसार TCPWrapper को कॉन्फ़िगर कर सकते हैं। या NFS सर्वर पर निश्चित पोर्ट का उपयोग करके iptables तालिका को कॉन्फ़िगर करें। आप इस सर्वर से NFS फ़ाइल सिस्टम को उठाकर अपने नेटवर्क पर नेटवर्क दृश्य या नकाबपोश (नेटवर्क / मास्क) मशीनों ( vm01 , vm02 ) का भी उपयोग कर सकते हैं। निम्नलिखित विकल्पों के साथ / etc / sysconfig / iptables फ़ाइल संपादित करें। सुनिश्चित करें कि ये पैरामीटर लॉग और DROP लाइनों से पहले वर्तनी हैं:

 ##   nfsv4-                           ## -A INPUT -s 192.168.1.0/24 -m state --state NEW -p tcp --dport 2049 -j ACCEPT

फ़ाइल को सहेजें और बंद करें। Iptables सेवा को पुनरारंभ करें :

 # service iptables restart

साझा संसाधन

अब आप स्थिर फ़ाइलों को / var / www / static और php / html फ़ाइलों को / var / www / html सर्वर निर्देशिकाओं में लोड कर सकते हैं। एक साझा एनएफएस फ़ाइल सिस्टम पर यूनिक्स सॉकेट न डालें। यदि आप SELinux का उपयोग करते हैं, तो आपको मानक एक्सेस अधिकारों को कॉन्फ़िगर करने की आवश्यकता है और SELinux सुरक्षा आवश्यकताओं को ध्यान में रखते हुए मालिक के अधिकारों को फ़ाइल करना होगा, लेकिन सिस्टम के संचालन की जांच करने के लिए, आप SELinux को अक्षम (अस्थायी रूप से) कर सकते हैं। सामग्री cyberciti.biz में विवरण देखें:

अस्थायी रूप से SELinux को बंद करना [ eng ]
लिनक्स पर Apache / httpd के लिए SELinux को डिसेबल करना (अनुशंसित नहीं) [ eng ]

एनएफएस के बारे में अंतिम नोट

उपरोक्त कॉन्फ़िगरेशन उदाहरण में, एनएफएस आंतरिक RAID डिस्क सरणी के लिए "विफलता का बिंदु" है। हालाँकि, आप SAN या NAS संग्रहण डिवाइस स्थापित करके इस समस्या को हल कर सकते हैं। उच्च भंडारण अतिरेक परियोजना लागत में वृद्धि करते हैं।
इसके अलावा, सुनिश्चित करें कि प्रत्येक वर्चुअल मशीन हम क्लाइंट या सर्वर के रूप में कार्य करते हैं, और दोनों एक ही समय में नहीं।
रखरखाव और सुरक्षा के मुद्दों से बचने के लिए, NFS को एक साधारण कॉन्फ़िगरेशन में तैनात किया जाना चाहिए।

हम वेब एप्लिकेशन स्टैक की सुरक्षा बढ़ाते हैं (LAMP वर्चुअलाइजेशन, चरण 1/6)