घर पर Nginx + LAMP सर्वर को कॉन्फ़िगर करना। भाग 1: सीमा को स्थापित करना - बैकेंड

नमस्ते मैंने हाल ही में लेखों की एक श्रृंखला बनाने के बारे में एक प्रश्न पूछा था । यहाँ पहला लेख है।

लेखों की इस श्रृंखला में, आप सीखेंगे कि LAMP सर्वर को सही तरीके से कैसे कॉन्फ़िगर किया जाए, लेकिन "होस्टिंग केवल अधिक शक्तिशाली है।"
हम निम्नलिखित स्टैक का उपयोग करेंगे: नग्नेक्स - अपाचे-एमएमपी-इटक - mod_php - mysql - linux / debian।

मैं निम्नलिखित विषयों को कवर करूंगा:

• फ्रंटेंड सेटअप - बैकेंड
• सर्वर क्षमताओं की गणना, mysql और बैकएंड की स्थापना
• इंटेल s3420gp पर आधारित अनुभव के बारे में कहानी

मैं विश्वास के साथ कह सकता हूं कि LAMP सर्वर की स्थापना कॉन्फ़िगरेशन फ़ाइलों में कुछ पंक्तियों को स्थापित करने और अनियंत्रित करने के लिए 6-10 कमांड तक सीमित नहीं है।
उदाहरण: डिफ़ॉल्ट रूप से, nginx सर्वर पर 1M से बड़ा अनुरोध निकाय अपलोड करने की अनुमति नहीं देता है। यदि आप इस पैरामीटर को कॉन्फ़िगर नहीं करते हैं, तो फ़ोटो की एक छोटी श्रृंखला को जोड़ने का प्रयास करते समय एक त्रुटि 414 (अनुरोध-यूआरआई टू लार्ज) हो जाएगी।
अपाचे के ठीक विपरीत है: इसका अनुरोध शरीर डिफ़ॉल्ट रूप से असीमित है। इससे गंदे टोटके करना संभव हो जाता है।

इस लेख में, हम पूरे सेटअप को अच्छी तरह से जान पाएंगे। लेख में आप मेरे द्वारा तैयार कॉन्फ़िगरेशन फ़ाइलों को पा सकते हैं। एक पेडेंट होने के नाते, मेरी कॉन्फ़िगरेशन फ़ाइलों को हमेशा प्रकार से वर्गीकृत किया जाता है, उदाहरण के लिए: "प्रदर्शन", "सामग्री पीढ़ी", "त्रुटि पृष्ठ", "संपीड़न", "अन्य सेटिंग्स", "सामान्य सेटिंग्स"। यह मुझे लगता है कि इन फ़ाइलों की पठनीयता बहुत बेहतर हो जाती है यदि उन्हें समूहीकृत किया जाए।

हम सरल हमलों और उनके खिलाफ बचाव के तरीके के बारे में जानेंगे। मुझे तुरंत यह कहना होगा कि नगनेक्स के सामने के दृश्य के मूल विन्यास के साथ - बैकेंड अपाचे अभी भी असुरक्षित है।

मुझे पूरा यकीन है कि मैं एक लेख में सब कुछ फिट नहीं कर सकता। बिल्ली के लिए आपका स्वागत है।

---

- फॉरवर्ड:
ऐसा हुआ कि हाल ही में हमारा सर्वर क्रैश होने लगा। किसी कारण से, वह शाम से रात तक गिर गया, और दिन के दौरान उसने अपने लिए काफी काम किया। मैं यह नहीं कह सकता कि इस पर बहुत बड़ा भार था। फॉल्स के दौरान, मैंने अपाचे पर रैम के आवंटन में असंगत रूप से विशाल छलांग की खोज की, प्रति प्रक्रिया 700 से अधिक megs, हालांकि PHP में अधिकतम 256M था। सर्वर एक स्वैप में चला गया, और फिर दुर्घटनाग्रस्त हो गया। सर्वर में शुरू में 8G रैम थी, जिसके बाद उन्होंने 16G स्थापित किया।

इन क्रैश से पहले, सर्वर ने पूरे एक वर्ष तक काम किया और किसी भी समस्या का पता नहीं चला। उनके घुटनों पर एक भयानक विन्यास था, क्योंकि हम पहले से ही होस्टिंग से प्रेरित थे। यहाँ इसका विन्यास है, सभी डेबियन रिपॉजिटरी से:
Apache2.2.16_mpm_itk + php5.3.0 सामान्य रूप से संभावित हमलों के खिलाफ सुरक्षा के बिना, एक ही समय में फ्रंटेंड और बैकएंड के लिए इंटरनेट पर लटका दिया गया। मैं Habré =) पर उल्लिखित सभी हमलों को अंजाम देने में कामयाब रहा।
Mysql5.1 को रैम और उस सभी के उप-उपयोग के साथ एक बुनियादी कॉन्फ़िगरेशन में कॉन्फ़िगर किया गया था।

उस क्षण से, मुझे सब कुछ बहुत अच्छी तरह से अध्ययन करना था। वैसे, सब कुछ ठीक होने के बाद, वर्चुअल होस्ट कॉन्फ़िगरेशन में अनावश्यक वर्बेज की मात्रा नाटकीय रूप से कम हो गई!

---

चलो सेटअप शुरू करते हैं

- भंडार अलग हैं:
पहली समस्या जो उत्पन्न हुई वह एक सॉफ्टवेयर अपडेट थी। जैसा कि आप जानते हैं, डेबियन रिपॉजिटरी में काफी पुराना सॉफ्टवेयर होता है। वे कहते हैं कि वे अच्छी तरह से परीक्षण कर रहे हैं, लेकिन वे वास्तव में पुराने हैं! वैसे, सॉफ्टवेयर के इस चयन को पाकर मैं खुद आश्चर्यचकित रह गया।
अब मैं यहाँ से www.PTdeb.org LAMP रिपॉजिटरी लेता हूँ
यहाँ www.dotdeb.org/instructions के लिए सेटअप गाइड है
उन लोगों के लिए जो पहली बार बहुत सूखे हैं (लेकिन आखिरकार, वह खुद एक बार ऐसा था और Google को छोड़कर मदद करने के लिए कोई नहीं था):
- स्थापित करें डेबियन को तुरंत SSH सर्वर (कुछ भी नहीं !!!) डालने के लिए एक डॉव लगाएं, फिर हम वीजीए मॉनिटर के लिए आईपी सर्वर का पता लगाते हैं कि अब नीचे मत बैठो, आप सर्वर को डेटा सेंटर में स्थानांतरित कर सकते हैं।
- SSH के माध्यम से कनेक्ट करें, मैं जीत के तहत पोटीन की सलाह देता हूं।
- नैनो /etc/apt/source.list डॉटडेब के निर्देशों के अनुसार वहां डाली गई है। (ध्यान दें: विंडो बफर से कंसोल में टेक्स्ट डालना सही माउस बटन के साथ किया गया है)
- निर्देशों के अनुसार अन्य चीजें करें
- मेरे द्वारा लिखे गए आदेशों के एक बड़े ब्लॉक को निष्पादित करें
- हम एमसी के माध्यम से गोरे लोगों की तरह काम करते हैं
- तो यह सब आप पर निर्भर करता है! =)

ध्यान दें, यहाँ मेरा हार्डवेयर विन्यास है: Intel s3420gp, xeon x3450, 16GB ECC RDIMM, 3 * 1Tb 3.5 "SATA" WD BE "(2x-raid1 (25G / 20G / 20G), 100G / var, ~ 800G / home) + 1single (1Tb / mnt / unsafe))। शुरुआती के लिए ध्यान दें: मैंने अपने समय में बहुत कदम बढ़ाया है कि मैंने ब्लैक एडिशन डिस्क लगाई है - मुझे RAID संस्करण स्थापित करना था।

और ऐसा है। अब हमने सिर्फ डिस्क को विभाजित किया, डेबियन मिनीडिस्क (190Mb) से ऑपरेटिंग सिस्टम स्थापित किया और रिपॉजिटरी सेटिंग्स बनाईं। अब हम जारी रखते हैं। संचालन के दौरान, आपके पास dpkg से प्रश्न होंगे, आपको उन्हें उत्तर देने की आवश्यकता है।

apt-get update apt-get upgrade apt-get install nginx apache2 apache2-mpm-itk php5 php5-apc php-pear php5-dev php5-gd mysql-server mysql-client php5-mysql postfix mc -y apt-get install libapache2-mod-rpaf -y echo all done! 

nginx - frontend, apache2-mpm-itk - backend, mod_php5.3 - भाषा, mysql5.5 - डेटाबेस, पोस्टफिक्स - PHP से मेलिंग।

---

- हम सिस्टम आर्किटेक्चर बनाते हैं:
यह हमेशा ज्ञात होता है कि दृश्य चित्र के बिना सिस्टम को कॉन्फ़िगर करना अधिक कठिन है, यदि यह था। सबसे पहले, मैं स्वयं इसकी कल्पना नहीं कर सका और केवल दो सर्वरों पर आधे से अधिक मुख्य दस्तावेज पढ़ने के बाद और मेरे साथ अपाचे के बारे में थोड़ा-बहुत पढ़ने के बाद ही इसे आकर्षित किया। अब मैंने इसे तुरंत पाठकों के लिए आकर्षित किया, ताकि विन्यास का अध्ययन करना उनके लिए आसान और अधिक सुविधाजनक हो। मुझे लगता है कि इस तस्वीर के अनुसार भविष्य में सिस्टम के संकीर्ण हिस्सों का विश्लेषण करना काफी सरल होगा, जो सिस्टम के समर्थन को सकारात्मक रूप से प्रभावित करेगा और, संभवतः इसकी स्केलिंग। (क्लिक करने योग्य चित्र)

मैं अगले लेख में चित्र के सभी भागों की व्याख्या करूँगा। इस लेख में हम फ्रंटएंड - बैकएंड सेटिंग्स प्रकट करेंगे। अपाचे सुरक्षा।

---

सीमा: nginx सेटअप

हम nginx को प्रॉक्सी मोड में कॉन्फ़िगर करेंगे। इसके कई कारण हैं:

• हमलों के खिलाफ अपाचे सर्वर सुरक्षा
• एक हल्के सर्वर पर स्थिर सामग्री को संपीड़ित और रेंडर करें
• सेविंग सर्वर दिमाग
• कार्यान्वयन में आसानी
• PHP FastCGI की तुलना में Apache mod_php काम करता है ( बहुत ज्यादा नहीं ) बदतर है , जबकि mod_php कॉन्फ़िगरेशन अधिक स्पष्ट और मानक है

- स्टूडियो के लिए पुष्टि!
यहां मेरी कॉन्फ़िगरेशन फाइलें हैं जो मैं एक प्रॉक्सी सर्वर के लिए उपयोग करता हूं
yadi.sk/d/w0SNSFIM0nyk1
आपको रिपॉजिटरी से जो मिला है, उसे इन फाइलों के साथ निर्दयतापूर्वक प्रतिस्थापित किया जाना चाहिए, साथ ही साथ .docx, .pptx, .xlsx एक्सटेंशन को इसी माइम प्रकार के विपरीत माइम में जोड़ें। आइए डिवाइस कॉन्फ़िगरेशन पर एक नज़र डालें:

 /nginx.conf -    -      .          . /proxy_params -  ,   nginx    proxy.         :  ,   killapache.pl,  , , . /conf.d -         .     error-docs -  , ngx_http_core_module -   , ngx_http_gzip_module -  . 

मैं जानबूझकर सेटिंग्स का अर्थ नहीं समझाता हूं, क्योंकि रूसी प्रलेखन है । हालांकि, मैं उनमें से कुछ को इंगित करना चाहता हूं और मैंने ऐसे मापदंडों को क्यों चुना। मैं पाठकों को यह सोचना चाहता हूं कि उनके उद्देश्यों के लिए कौन सी सेटिंग्स की आवश्यकता है, खासकर जब से मुझे उनके लिए खोज करने की आवश्यकता नहीं है, मैंने उन सभी को समूहीकृत किया है।

• मैंने client_max_body_size को 64M तक बढ़ा दिया ताकि सर्वर पर विभिन्न मल्टीमीडिया अपलोड करना संभव हो जाए - कॉर्न फ़ोटो।
• client_body_buffer_size - मैंने मानक बफर को 32k तक बढ़ाया क्योंकि डिफ़ॉल्ट रूप से यह स्पष्ट रूप से पर्याप्त नहीं होगा। अक्सर आपको इनपुट पर "बड़ा डेटा (10-20k)" संसाधित करना पड़ता है। सामान्य तौर पर, यह पैरामीटर यह निर्धारित किया जाना चाहिए कि सर्वर पर किस कोड को निष्पादित किया जाएगा। यदि आप उदाहरण के लिए ट्विटर पर हैं, तो आपको 1k से अधिक खर्च करने की आवश्यकता नहीं है (हालांकि, आपको सिस्टम के 64x मेमोरी पेज पर इसे छोड़ने के लिए 8k लगाने की आवश्यकता है)। यदि आप एक केंद्र हैं, तो मैं 8k (डिफ़ॉल्ट मान से कम) रखूंगा, क्योंकि वहां वे टिप्पणियां लिखते हैं जो अक्सर 1k से आगे जाती हैं, लेकिन औसतन 8k से कम (एक स्नैप के लिए, मैं गलत हो सकता है)। यदि यह पैरामीटर ओवरफ्लो होता है तो क्या होता है, प्रलेखन पढ़ें।
• big_client_header_buffers - मैंने इसे बाकी सिस्टम को स्वीकार करने के साथ संरेखित करके कम किया है - अपाचे + पीपी।
• कार्यकर्ता_प्रोसेस - कोर / 2 की संख्या से कार्यकर्ता प्रक्रियाएं निर्धारित करें।
• कार्यकर्ता_परायणता - सभी से ऊपर सेट ताकि शेष बैकेंड उत्पन्न सामग्री की वापसी को धीमा न करे।
• server_tokens बंद; - जो आपके पास है = उससे चमकें नहीं, आप मुश्किल में पड़ सकते हैं।
• xy_read_timeout - मैंने इसे 300 + 20 सेकंड तक बढ़ाया। यह टाइमआउट अपाचे से थोड़ा अधिक है, जो 300 + 10 सेकंड के बाद होता है। ऐसा इसलिए किया जाता है ताकि बैकएंड की "गहराई से" समय समाप्त हो जाए, और सामने वाले के साथ अज्ञात कारणों से टूट न जाए। डिफ़ॉल्ट रूप से, यह पैरामीटर 60 सेकंड है, जो कभी-कभी भारी कंप्यूटिंग के लिए पर्याप्त नहीं है। मैं ध्यान देता हूं कि इस कॉन्फ़िगरेशन में php 300 सेकंड तक चल सकता है, टाइमआउट थ्रेड की शुरुआत से पहले।
• कृपया प्रॉक्सी_सेट_हाइडर निर्देशों को प्रॉक्सी_परम फ़ाइल में ध्यान दें: इनका उपयोग प्रॉक्सी सर्वर के लिए हेडर सेट करने के लिए किया जाता है। विशेष रूप से, अनुमानित सर्वर यह नहीं देखता है कि उसने किस आईपी पते को संबोधित किया है, क्योंकि उसका मानना ​​है कि स्थानीय 127: 0: 0: 1 यह एक्सेस कर सकता है।
• मैं स्थानीय पोर्ट 127.0.0.1:88 से जुड़ा हुआ हूं, मैंने ईमानदारी से उन पर आधारित सॉकेट या बैसाखी खोजने की कोशिश की, लेकिन यह काम नहीं कर रहा है = (

---

बैकएंड: अपाचे सेटअप

अब अपाचे सेट करते हैं। यहां समूहित कॉन्फ़िगरेशन फ़ाइलों का एक और पैक है: yadi.sk/d/ZqsisoDl0nzrl
अपाचे फ़ाइलों में, मैंने प्रत्येक पैरामीटर को दस्तावेज़ से कॉपी करके हस्ताक्षरित किया, जो कॉन्फ़िगर करने के लिए अधिक सुविधाजनक होगा। फिर, मैं आपको अपनी आवश्यकताओं के लिए कस्टमाइज़ेशन के लिए दस्तावेज़ीकरण भेज रहा हूँ और आपको प्रमुख बातों के बारे में बता रहा हूँ:

• ports.conf फ़ाइल: पोर्ट 88 और 443 को सुनें।
• इसके अलावा libapache2-mod-rpaf (पहले से ही ऊपर किया गया) स्थापित करें। यह प्रॉक्सी सर्वर द्वारा हमें भेजे गए हेडर को डिक्रिप्ट करने का कार्य करता है। हां, बहुत ही हेडर जो हम प्रॉक्सी_सेट_हीडर निर्देश के साथ सेट करते हैं।
• DeflateCompressionLevel 1 (फ़ाइल / mods-enabled/deflate.conf) में मैंने संपीड़न अनुपात = 1 सेट किया, मैंने बहुत कुछ नहीं दबाने का फैसला किया। किसी भी मामले में, यदि आपके पास सर्वर पर अतिरिक्त हाथ हैं, तो 9 क्यों नहीं?
• मैंने mod_headers मॉड्यूल को सक्रिय किया और conf.d / security फाइल में मैंने सुरक्षा के लिए कुछ हेडर काट दिए, मेजबानों के लिए पोर्ट 443 पर लटका दिया। विवरण में विवरण। मुझे नहीं पता कि मैंने इस बंदरगाह को क्यों नहीं छोड़ा, लेकिन यह एक सच्चाई है। बस कुछ मेरे हाथ तक नहीं पहुंचा, या मैं डर गया, और फिर मेरे हाथ नहीं पहुंचे। किसी भी मामले में, साधारण नश्वर को उससे संपर्क करने से मना किया जाता है। वैसे, अपाचे संस्करण> = 2.2.21 के साथ, इस समस्या को कर्नेल स्तर पर विशेष ट्यूनिंग द्वारा हल किया गया था।
• ServerTokens उत्पाद, ServerSignature बंद - फिर से, स्वादिष्ट स्थानों के साथ चमक नहीं है।
• निर्देशिका अनुभाग में secutiry फ़ाइल में, मैंने यथासंभव कई अलग-अलग सेटिंग्स का वर्णन किया, ताकि वर्चुअल होस्ट की फ़ाइलों में कम वर्बेज हो।
• टाइमऑट 310 - पहले ही लिखा था कि 310 सेकंड क्यों।
• RLimitMEM एक दिलचस्प बात है, मैं आपको पढ़ने की सलाह देता हूं। आपको अपाचे की खपत को पूरी तरह से सीमित करने की अनुमति देता है। अन्य आर * पैरामीटर भी दिलचस्प हैं।
• DefaultType एप्लिकेशन / ऑक्टेट-स्ट्रीम - यदि हम नहीं जानते कि हम क्या दे रहे हैं, तो उन्हें बायनेरिज़ होने दें।
• AddDefaultCharset बंद - यदि आप सुनिश्चित नहीं हैं कि यह सब कुछ एक एन्कोडिंग में है, तो इसे चालू न करें तो बेहतर है

जिस चीज पर आपको ध्यान देने की आवश्यकता है, उसके साथ मैं समाप्त हुआ। अब होस्टिंग कार्यों के लिए चयनित mpm-itk मॉड्यूल पर चलते हैं।
तथ्य यह है कि यह मॉड्यूल सुविधाजनक है कि हर बार एक नया सर्वर एक्सेस किया जाता है, एक नई प्रक्रिया बनाई जाती है और यह एक विशिष्ट उपयोगकर्ता पर स्विच करता है, www-ru- उदाहरण कहता है। यही है, यह उपयोगकर्ता अपनी निर्देशिका में "लॉक" है और कोई स्क्रिप्ट कहीं भी नहीं मिल सकती है, यह देखते हुए कि आपने ऑपरेटिंग सिस्टम को सही ढंग से कॉन्फ़िगर किया है। मैं ध्यान देता हूं कि डेबियन में कई डिफ़ॉल्ट कॉन्फ़िगरेशन फाइलें सभी के लिए पढ़ने के लिए खुली हैं !!!
इस एमपीएम की कहानी दिलचस्प है। तथ्य यह है कि यह mpm prefork के आधार पर बनाया गया था, जिसका अर्थ है कि prefork के लिए सभी सेटिंग्स itk पर भी लागू होती हैं। तदनुसार, मेरी कॉन्फ़िगरेशन फ़ाइल में आप इसे ट्रैक कर सकते हैं।
कृपया MaxClients 150 पर ध्यान दें, ये वही अधिकतम 150 उपयोगकर्ता हैं जो बैकएंड एक्सेस करते समय हो सकते हैं। इसके अलावा, कृपया MaxRequestsPerChild पर ध्यान दें। डिफ़ॉल्ट रूप से, यह शून्य है। इसे कम से कम सीमित रूप से स्थापित करने की सलाह दी जाती है - इससे मेमोरी रिसाव की संभावना कम हो जाती है।

Mpm-itk में एक और महत्वपूर्ण बात अच्छी कीमत है। मैंने इस मान को -2 पर सेट किया है। मैंने ऐसा सिर्फ इसलिए किया, क्योंकि जैसे ही डेटाबेस ने परिणाम लौटाया, PHP को तुरंत फॉर्म करना चाहिए और इसे अंत तक सबमिट करना चाहिए। कृपया अच्छे मूल्य वाले पदानुक्रम पर ध्यान दें।
nginx = -5, apache = -2, mysql = 0. यह संभव के रूप में जल्दी से जल्दी सामग्री उत्पन्न करने और उपयोगकर्ता को देने के लिए किया जाता है। ऑपरेटिंग सिस्टम को बाद के लिए गैर-प्राथमिकता वाली प्रक्रियाओं को दबा देना चाहिए।

मैं मूल अपाचे सुरक्षा के बारे में कुछ शब्द कहना चाहूंगा।
कई प्रकार के हमले हैं जो किसी भी सिस्टम प्रशासक को पता होना चाहिए: Killapache.pl, धीमी पोस्ट, धीमी लोरी। ये सभी हमले अपाचे खोलने के लिए बहुत सरल हैं। मॉड_हेडर्स या नगनेक्स किलपैक।प्लेट से बचाता है, जहां आप कुछ हेडर पर प्रतिबंध लगाकर समस्या को बंद कर सकते हैं। वे कहते हैं कि Killapache.pl प्रोटोकॉल की ही समस्या है। धीमी पोस्ट, धीमी लोरी एक समान हमले हैं, एक बहुत ही धीमा चैनल के साथ बड़े POST भेजते समय किया जाता है, दूसरे को बहुत धीमी गति से चैनल में ग्राहक को उत्पन्न सामग्री भेजकर किया जाता है। ये हमले उस मजबूत, मांसल और पापी नगीने सर्वर के लिए डरावने नहीं हैं जिन्हें हम पीछे छिपाते थे। अपाचे के लिए, यह घातक रूप से समान है, उदाहरण के लिए, सर्वर द्वारा सभी डेटा दिए जाने के बाद PHP सैंडबॉक्स को साफ किया जाता है, अब कल्पना करें कि कितनी मेमोरी का उपभोग किया जा सकता है।

अंत में, मैं यह कहना चाहता हूं कि विन्यास फाइलों में मैंने सिर्फ फाइलें भेजी थीं। विशेष रूप से mods- उपलब्ध साइटों, *, आदि से mods- सक्षम निर्देशिकाओं के लिए simulinki बनाने के लिए मत भूलना

पढ़ने के लिए धन्यवाद, मुझे आशा है कि मुझे मेरे विन्यास का चयन पसंद आया। मैं अन्य विषयों में कई अन्य चीजों को कवर करने की कोशिश करूंगा। उदाहरण के लिए, बैकएंड सेट करना (php - mysql) और सर्वर क्षमताओं की गणना करना। यदि पहला और दूसरा लेख दिलचस्प है, तो मैं 2 और लेख लिख सकता हूं: "उपयोगकर्ता लेखा प्रणाली", "एंट्री-लेवल हार्डवेयर की पसंद के बारे में अनुभव", "सर्वर पर काम करने के बारे में विविध"। फाइनल में, मैं अपने द्वारा निर्दिष्ट लेखों के लिए सर्वर को जल्दी से कॉन्फ़िगर करने के लिए उपयोगिताओं का एक सेट विकसित कर सकता हूं।