11.2. Webserver (HTTP)

Die Falcot Corp. Administratoren haben sich entschlossen, den Apache HTTP-Server zu verwenden, der in der Version 2.2.16 in Debian Squeeze enthalten ist.

ALTERNATIVE Andere Webserver

Apache ist lediglich der am besten bekannte (und meistbenutzte) Webserver, es gibt jedoch auch andere; sie können bei bestimmten Beanspruchungen bessere Leistungen bieten, dies hat jedoch eine Kehrseite in der geringeren Anzahl verfügbarer Leistungsmerkmale und Module. Wenn aber der zu verwendende Webserver zur Bereitstellung statischer Dateien eingesetzt werden oder als Proxy fungieren soll, sind Alternativen wie nginx und lighttpd eine nähere Betrachtung wert.

11.2.1. Apache installieren

Standardmäßig wird beim Installieren des Pakets apache2 auch die Apache-Version apache2-mpm-worker installiert. Das Paket apache2 ist eine leere Hülle, mit der lediglich sichergestellt wird, dass eine der Apache-Versionen tatsächlich installiert wird.

Die Unterschiede in den Apache-2-Varianten beziehen sich in erster Linie auf das Regelwerk, das beim Umgang mit der parallelen Verarbeitung zahlreicher Anfragen verwendet wird; dieses Regelwerk wird durch ein MPM (kurz für Multi-Processing Module) umgesetzt. Von den verfügbaren MPMs verwendet apache2-mpm-worker sogenannte Threads (leichtgewichtige Prozesse), wohingegen apache2-mpm-prefork eine Anzahl zuvor erstellter Prozesse benutzt (dies ist der traditionelle Weg und der einzige, der unter Apache 1.3 verfügbar war). apache2-mpm-event verwendet ebenfalls Threads, die jedoch früher beendet werden, wenn die ankommende Verbindung lediglich durch die HTTP-Funktion keep-alive offen gehalten wird.

Die Falcot Administratoren installieren auch libapache2-mod-php5, um die Unterstützung für PHP in Apache einzubeziehen. Dies führt dazu, dass apache2-mpm-worker entfernt und apache2-mpm-prefork an seiner Stelle installiert wird, da PHP nur unter diesem speziellen MPM funktioniert.

SICHERHEIT Ausführung unter dem Benutzer `www-data`

Standardmäßig verarbeitet Apache ankommende Anfragen unter der Identität des Benutzers www-data. Dies bedeutet, dass eine Sicherheitslücke in einem CGI-Skript, das von Apache (für eine dynamische Seite) ausgeführt wird, nicht das ganze System gefährden würde, sondern nur die Dateien im Besitz dieses speziellen Benutzers.

Der Einsatz der suexec-Module macht es möglich, diese Regel zu umgehen, so dass einige CGI-Skripte unter der Identität eines anderen Benutzers ausgeführt werden. Dies wird mit einer Anweisung der Art SuexecUserGroup benutzergruppe in der Apache-Konfiguration eingestellt.

Eine weitere Möglichkeit besteht darin, ein speziell hierfür vorgesehenes MPM zu benutzen, wie das von apache2-mpm-itk bereitgestellte. Dieses Modul weist ein etwas abweichendes Verhalten auf: es ermöglicht das „Isolieren“ virtueller Hosts, so dass jeder von ihnen als ein anderer Benutzer läuft. Eine Schwachstelle in einer Website kann somit keine Dateien gefährden, die dem Benutzer einer anderen Website gehören.

Apache ist ein modularer Server, und viele Leistungsmerkmale werden durch externe Module umgesetzt, die das Hauptprogramm während der Initialisierung lädt. Die Standardkonfiguration aktiviert nur die gebräuchlichsten Module, aber das Aktivieren neuer Module geschieht einfach mit dem Befehl a2enmod modul; der Befehl zum Abschalten eines Moduls lautet a2dismod modul. Diese Programme erstellen (oder löschen) in Wirklichkeit nur symbolische Verknüpfungen in der Datei /etc/apache2/mods-enabled/, die auf die tatsächlichen Dateien zeigen (die in /etc/apache2/mods-available/ gespeichert sind).

In seiner Standardkonfiguration nimmt der Webserver an Port 80 Verbindungen an (wie in /etc/apache2/ports.conf konfiguriert), und liefert Seiten aus dem Verzeichnis /var/www/ (wie in /etc/apache2/sites-enabled/000-default konfiguriert).