Onderwerp: mod_suid(2)/mod_ruid ervaringen en tips

Oorspronkelijk geplaatst door Wido

Je moet er voor zorgen dat al die userID's natuurlijk wel op jouw systeem bestaan

?? Is het niet de bedoeling van een virtualhost dat de users niet in de password file staan?

Nu, technisch kan het wel. We hebben nu eindelijk ons controlpanel gemaakt, dat alle config files en directory's automatisch aanmaakt. Dus die moet dan ook maar die ene regel in de /etc/passwd zetten.

Maar toch, in theorie was dit toch niet nodig?

De bedoeling van een virtual host is dat er meer dan het aantal fysieke hosts op een host aanwezig zijn. Het wel of niet hebben van een user in /etc/passwd heeft daar vrij weinig mee te maken.

Oorspronkelijk geplaatst door Wido

Je moet er voor zorgen dat al die userID's natuurlijk wel op jouw systeem bestaan

Ik weet niet hoeveel virtualhosts jullie draaien, maar aangezien jullie met loadbalancing werken, zouden jullie enorm veel entries moeten hebben in jullie /etc/passwd file op elke (load balanced) webserver ..... klopt dat?

en als dat klopt .. hoe houden jullie al die die /etc/passwd files synchroon? rsync of hebben jullie mooie truc waar door er maar één passwd file op jullie storage platform staat?

(of krijg ik met het beantwoorden van deze vragen iets te veel kijk in de keuken? ... hoe dan ook, ben benieuwd naar de reactie en hoop er wat van te leren)

Oorspronkelijk geplaatst door vaplu

Ik weet niet hoeveel virtualhosts jullie draaien, maar aangezien jullie met loadbalancing werken, zouden jullie enorm veel entries moeten hebben in jullie /etc/passwd file op elke (load balanced) webserver ..... klopt dat?

Klopt, daar staan een paar duizend entry's in.

en als dat klopt .. hoe houden jullie al die die /etc/passwd files synchroon? rsync of hebben jullie mooie truc waar door er maar één passwd file op jullie storage platform staat?

Elke server draait een daemon die we zelf gemaakt hebben. Via die daemon sturen we elke server zijn nieuwe httpd.conf (eigenlijk een virtual.conf die we in de httpd.conf includen) en een nieuwe passwd file.

Daarna sturen we het commando voor een apachectl graceful.

Ben sindskort ook aan de slag gegaan met mod_ruid. Op zich werkt het goed, maar er zijn nog enkele serieuze showstoppers. Misschien iemand hier ervaring mee heeft?

- Wij gebruiken ook aliases en userdirs, aangezien in onze "klantenkring" lang niet iedereen een domein heeft. Echter, met mod_ruid is het alleen mogelijk binnen een virtualhost context te user en group te bepalen. Zijn hier oplossingen voor?

- We willen ook PHP5 naast PHP4 gaan draaien. Aangezien 2 apachemodules naast elkaar blijkbaar niet gaat werken, zijn we gedwongen om PHP5 via cgi te draaien. edit, foutje: bij php5-cgi draait hij onder de defaultuidgid, terwijl het bestandje precies dezelfde eigenaar heeft als de php4 versie.

Niet via stat werken maar enkel via config.
Met de rest kan ik je niet verder helpen.

Oorspronkelijk geplaatst door Rollerscapes

Niet via stat werken maar enkel via config.
Met de rest kan ik je niet verder helpen.

Dan doet hij het idd wel voor CGI. Hoewel het wel vreemd is, is niet zo erg dat stat niet werkt. Die gingen we toch al niet gebruiken.

Maar ook RMode config werkt niet in een andere context dan de globale context of binnen een vhost. Heeft iemand hier een oplossing voor? Bvd!

Oorspronkelijk geplaatst door gjtje

Op een server ben ik trouwens over gestapt op mpm-itk, welke hetzelfde lijkt te doen, alleen dan zonder extra module.

Met welke distro werk je? In Debian Etch (stable) staat over mpm-itk nog het volgende:

"Please note that this MPM is highly experimental, and is not from the same tree as the other MPMs."

Hoop dat je het niet in productie draait

Oorspronkelijk geplaatst door rayden

Ik ga binnenkort weer eens experimenteren met de mod_suid voor de Apache 1.3.x gebruikers onder ons en een HOWTO publiceren, ben nu al in gesprek met de developer over bepaalde opties enz.

Heb je al wat online staan of is het er niet meer van gekomen?

Ik merkte vandaag een probleempje op met mod_ruid in combinatie met Nagios/CGI's.

Als ik in m'n vhost het volgende gebruik:

RMode config
RUidGid nagios nagios

Dan krijg ik foutmelding ala deze:

[Tue Jun 26 12:39:41 2007] [error] [client 192.168.1.64] (13)Permission denied: unable to connect to cgi daemon after multiple tries
: /usr/local/nagios/sbin/status.cgi, referer: http://192.168.1.203/side.html

Als ik Rmode verander naar stat (niet wenselijk maar ala) met de file permissies op nagios:nagios zelfde foutmelding.

Pas als ik de file rechten verander naar nobody:nogroup in combinatie met stat komt die foutmelding niet meer voor.

Dit overigens met Apache 2.2.

Wat doe ik fout?




Hoort dit topic eigenlijk niet thuis onder Server, Services en Beveiliging?

Kan je die dan beter niet onder mod_ruid draaien?

Oorspronkelijk geplaatst door Rollerscapes

Kan je die dan beter niet onder mod_ruid draaien?

Is het sowieso niet beter (gevoelsmatig) dat je .cgi via suexec laat lopen?

Zolang het moederproces maar onder een bepaalde user draait dan wordt alles wat daaruit voort komt (bijv cgi) ook onder die user uitgevoerd (voor zover ik weet).

Oorspronkelijk geplaatst door vaplu

Is het sowieso niet beter (gevoelsmatig) dat je .cgi via suexec laat lopen?

Misschien, maar dat oogt ook weer wat dubbelop omdat mod_ruid hetzelfde maar dan breder zou moeten doen dan suexec. Anders zit je in elke virtual config een mod_ruid & suexec config op te nemen.

Either way doet dit probleempje zich alleen voor in de combi mod_ruid en cgi's dus ben benieuwd of anderen dit ook hebben opgemerkt. Het oogt dan alsof de cgid die gespawned wordt niet de juiste uid/gid mee krijgt.

Oorspronkelijk geplaatst door Pur

dus ben benieuwd of anderen dit ook hebben opgemerkt.

Uuuh .... Wido!!?

Oorspronkelijk geplaatst door RayManZ

frontpage hier gewoon uit staan. Die rommel wil niemand

Ik heb tevens een nieuw probleem:

ipadres/~username werkt nu niet meer...

Nu heb ik dat wel weer werkend gekregen. Alleen de sessies die in /tmp staan krijg ik een permission denied op. iemand een oplossing hiervoor?

chmod 777 /tmp