11.2. Servidor web (HTTP)

Los administradores de Falcot Corp decidieron utilizar el servidor HTTP Apache, cuya versión 2.4.10 estaba incluida en la distribucion Debian Wheezy.

11.2.1. Instalación de Apache

Lo único que necesita es instalar el paquete apache2. Contiene todos los módulos, incluídos los Módulos de Multi-proceso (MPMs), que afectan a cómo Apache gestiona el procesamiento en paralelo de muchas peticiones (que suelen facilitarse en los paquetes separados apache2-mpm-*". Arrastrará también apache2-utils, que contiene las utilidades de linea de órdenes que descubriremos más tarde.

El uso de MPM en Apache afecta significativamente al manejo de las peticiones concurrentes. Con el worker MPM, se usan hilos (procesos ligeros) mientras que con prefork MPM usa un conjunto de procesos creados préviamente. Con el uso de event MPM tambien usa hilos pero las conexiones inactivas (las que se mantienen abiertas por la característica keep-alive de HTTP) son llevadas por el gestor de hilos dedicado.

Los administradores de Falcot también instalan libapache2-mod-php5 para incluir la compatibilidad con PHP en Apache. Esto causa que se el MPM se desactive en el evento por defecto y, en su lugar se haga uso de prefork, ya que PHP sólo funciona bajo ese MPM particular.

SEGURIDAD Ejecución bajo el usuario www-data

De forma predeterminada, Apache administra todas las peticiones entrantes bajo la identidad del usuario www-data. Esto significa que, en caso de una vulnerabilidad de seguridad en un script CGI ejecutado por Apache (para una página dinámica), no se comprometerá todo el sistema sino sólo los archivos que son propiedad de este usuario en particular.

Los módulos suexec permiten evitar esta limitación para que algunos scripts CGI ejecuten bajo la identidad de otros usuarios. Puede configurarlo con la directiva SuexecUserGroup usuario grupo en la configuración de Apache.

Otra posibilidad es utilizar un MPM dedicado, como el que provee el paquete libapache2-mpm-itk. Este MPM en particular tiene un comportamiento ligeramente diferente: permite «aislar» los servidores virtuales («virtual hosts») (actualmente, conjuntos de páginas) para que cada uno ejecute como un usuario diferente. Por lo tanto, una vulnerabilidad en un sitio web no puede comprometer los archivos que pertenecen al dueño de otro sitio web.

Apache es un servidor modular y mucha funcionalidad está implementada por módulos externos que el programa principal carga durante su inicialización. La configuración predeterminada sólo activa los módulos más comunes, pero activar nuevos módulos es tan simple como ejecutar a2enmod módulo; similarmente, podrá desactivar un módulo ejecutando a2dismod módulo. En realidad, estos programas sólo crean (o eliminan) enlaces simbólicos en /etc/apache2/mods-enabled/ que apuntan a los archivos en sí (almacenados en /etc/apache2/mods-available/).

Con su configuración predeterminada, el servidor web escuchará en el puerto 80 (según se encuentra configurado en /etc/apache2/ports.conf) y servirá páginas del directorio /var/www/html/ (según se encuentra configurado en /etc/apache2/sites-enabled/000-default.conf).

YENDO MÁS ALLÁ Compatibilidad con SSL

Apache 2.4, así como viene, incluye el módulo SSL necesario para HTTP seguro (HTTPS). Sólo necesita activarlo con a2enmod ssl y luego agregar las directivas necesarias a los archivos de configuración. Puede encontrar un archivo de configuración de ejemplo en /etc/apache2/sites-available/default-ssl.conf.

→ http://httpd.apache.org/docs/2.4/mod/mod_ssl.html

Debe tener ciertos cuidados adicionales si prefiere conexiones SSL con «Perfect Forward Secrecy» (secreto perfecto a futuro, donde las conexiones utilizan llaves efímeras en cada sesión asegurándose que si se compromete la llave privada del servidor no signifique que se haya comprometido todo el tráfico antiguo que puede haberse almacenado desde la red). En particular, revise las recomendaciones de Mozilla:

→ https://wiki.mozilla.org/Security/Server_Side_TLS#Apache

11.2.2. Configuración de servidores virtuales («virtual hosts»)

Un servidor virtual es una identidad adicional para el servidor web.

Apache considera dos tipos distintos de servidores virtuales: aquellos basados en la dirección IP (o puerto) y aquellos basados en el nombre de dominio del servidor web. El primer método requiere reservar una dirección IP (o puerto) diferente para cada sitio, mientras que el segundo puede funcionar en sólo una dirección IP (y puerto) y se diferencian los sitios por el nombre enviado por el cliente HTTP (que sólo funciona en la versión 1.1 del protocolo HTTP — afortunadamente esta versión es suficientemente antigua para que todos los clientes ya lo utilicen).

La escasez (creciente) de direcciones IPv4 generalmente favorece el segundo método; sin embargo, es más complejo si los servidores virtuales también necesitan proveer HTTPS ya que el protocolo SSL no siempre se adecuó a los servidores virtuales basados en nombres; no todos los navegadores son compatibles con la extensión SNI (indicación de nombre de servidor: «Server Name Indication») que permite esta combinación. Cuando varios sitios HTTPS necesitan ejecutar en el mismo servidor, generalmente se diferenciarán bien por ejecutar en un puerto o en una dirección IP diferente (IPv6 puede ayudar).

La configuración predeterminada de Apache 2, activa servidores virtuales basados en nombre. Además, define un servidor virtual predeterminado en el archivo /etc/apache2/sites-enabled/000-default.conf; utilizará este servidor virtual si no se encuentra ningún servidor que coincida con el pedido enviado por el cliente.

VISTA RÁPIDA Compatibilidad SNI de Apache

El servidor Apache es compatible con la extensión del protocolo SSL llamada indicación de nombre de servidor (SNI: «Server Name Indication»). Esta extensión permite al navegador enviar el nombre del servidor web durante el establecimiento de la conexión SSL, mucho antes del pedido HTTP en sí, lo que antes utilizaba para identificar el servidor virtual pedido entre aquellos que se encuentran en el mismo servidor (con la misma dirección IP y puerto). Esto le permite a Apache seleccionar el certificado SSL apropiado para que continúe la transacción.

Antes de SNI, Apache siempre proveía el certificado configurado en el servidor virtual predeterminado. Los clientes que intentaban acceder a otros servidores virtuales recibirían advertencias ya que el certificado que recibieron no coincidía con el sitio web que estaban intentando acceder. Afortunadamente, la mayoría de los navegadores ahora utilizan SNI; esto incluye Microsoft Internet Explorer a partir de la versión 7.0 (comenzando con Vista), Mozilla Firefox desde la versión 2.0, Apple Safari desde la versión 3.2.1 y todas las versiones de Google Chrome.

El paquete Apache proporcionado en Debian está compilado con soporte SNI; de modo que no es necesario ninguna configuración particular.

También debe tener cuidado de asegurar que la configuración del primer servidor virtual (el utilizado de forma predeterminada) tenga TLSv1 activo, debido a que Apache utiliza los parámetros de este primer servidor virtual para establecer conexiones seguras y ¡debería permitirlo!

Luego puede describir cada servidor virtual adicional con un archivo almacenado en /etc/apache2/sites-available/. La configuración de un sitio web para el dominio falcot.org es tan simple como crear el siguiente archivo y luego habilitar el servidor virtual con a2ensite www.falcot.org.

Ejemplo 11.16. El archivo /etc/apache2/sites-available/www.falcot.org.conf

<VirtualHost *:80>
ServerName www.falcot.org
ServerAlias falcot.org
DocumentRoot /srv/www/www.falcot.org
</VirtualHost>

El servidor Apache, como está configurado hasta ahora, utiliza los mismos archivos de registro para todos los servidores virtuales (puede cambiarlo agregando directivas CustomLog en las definiciones de servidores virtuales). Por lo tanto, tiene sentido personalizar el formato de este archivo de registro para incluir el nombre del servidor virtual. Puede hacerlo creando un archivo /etc/apache2/conf-available/customlog.conf que define un nuevo formato para todos los archivos de registro (con la directiva LogFormat) y habilitándolo con la orden a2enconf customlog. También debe eliminar (o comentar) la línea CustomLog del archivo /etc/apache2/sites-available/000-default.conf.

Ejemplo 11.17. El archivo /etc/apache2/conf.d/customlog.conf

# Nuevo formato de registro que incluye el nombre del servidor (virtual)
LogFormat "%v %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" vhost

# Ahora utilicemos este formato de forma predeterminada
CustomLog /var/log/apache2/access.log vhost

11.2.3. Directivas comunes

Esta sección revisa brevemente alguna de las directivas de configuración de Apache más utilizadas.

El archivo de configuración principal generalmente incluye varios bloques Directory que permiten diferentes comportamientos del servidor dependiendo de la ubicación del archivo que está proveyendo. Tales bloques usualmente incluyen directivas Options y AllowOverride.

Ejemplo 11.18. Bloque Directory

<Directory /var/www>
Options Includes FollowSymlinks
AllowOverride All
DirectoryIndex index.php index.html index.htm
</Directory>

La directiva DirectoryIndex contiene una lista de archivos a intentar cuando el pedido del cliente es un directorio. El primer archivo de la lista que exista será utilizado y enviado como respuesta.

La directiva Options debe seguirse de una lista de opciones a activar. El valor None desactiva todas las opciones; correspondientemente, All las activa todas excepto MultiViews. Las opciones disponibles incluyen:

ExecCGI indica que puede ejecutar scripts CGI.
FollowSymlinks le dice al servidor que puede seguir los enlaces simbólicos y que la respuesta debe contener el contenido del objetivo de dichos enlaces.
SymlinksIfOwnerMatch también le indica al servidor que siga los enlaces simbólicos, pero sólo cuando el enlace y su objetivo tengan el mismo dueño.
Includes activa inclusiones del lado del servidor (SSI: «Server Side Includes»). Estas directivas se encuentran en las páginas HTML y son ejecutadas en el momento de cada pedido.
Indexes le indica al servidor que provea una lista del contenido de los directorios si el pedido HTTP del cliente apunta a un directorio sin un archivo de índice (es decir, que no existe en él ninguno de los archivos enumerados en la directiva DirectoryIndex).
MultiViews activa la negociación de contenido; el servidor puede utilizar esto para proveer una página web que utilice el idioma preferido configurado en el navegador.

La directiva AllowOverride enumera todas las opciones que pueden ser activadas o desactivadas en un archivo .htaccess. Un uso común de esta opción es restringir ExecCGI para que los administradores puedan elegir los usuarios que podrán ejecutar programas bajo la identidad del servidor web (el usuario www-data).

11.2.3.1. Autenticación obligatoria

En algunas cirucunstancia necesitará restringir el acceso a partes de un sitio web, de forma que sólo usuarios legítimos que provean un nombre de usuario y una contraseña tengan acceso al contenido.

Ejemplo 11.19. Archivo .htaccess para autenticación obligatoria

Require valid-user
AuthName "Private directory"
AuthType Basic
AuthUserFile /etc/apache2/authfiles/htpasswd-private

El archivo /etc/apache2/authfiles/htpasswd-private contiene una lista de usuarios y contraseñas; usualmente lo manipulará con el programa htpasswd. Por ejemplo, ejecute lo siguiente para agregar un usuario o cambiar su contraseña:

# htpasswd /etc/apache2/authfiles/htpasswd-private usuario
New password:
Re-type new password:
Adding password for user usuario

11.2.3.2. Restricción de acceso

Las directiva Require controla las restricciones de acceso a un directorio (y sus subdirectorios de forma recursiva).

Puede usarse para restringir el acceso basado en varios criterios; Pararemos describiendo la restricción de acceso basada en la dirección IP del cliente, pero puede realizarse de un modo mucho más potente que eso, especificando varias directivas Require combinadas con un bloque RequireAll.

Ejemplo 11.20. Sólo permitir desde la red local

Require ip 192.168.0.0/16

ALTERNATIVA Sintaxis antigua

La sintaxis Require sólo está disponible en Apache 2.4 (la versión que se encuentra en Jessie). Para los usuarios de Wheezy, la sintaxis de Apache 2.2 es diferente, y la describiremos aquí principalmente como referencia, aunque también puede estar disponible en Apache 2.4 haciendo uso del módulo mod_access_compat.

Las directivas Allow from y Deny from controlan las restricciones de acceso a un directorio (y sus subdirectorios de forma recursiva).

La directiva Order le indica al servidor el orden en el que aplicar las directivas Allow from y Deny from; la última que coincida tiene precedencia. En términos concretos, Order deny,allow permite acceso si no coincide ninguna regla Deny from o si coincide una directiva Allow from. A la inversa, Order allow,deny rechaza el acceso si no coincide ninguna directiva Allow from (o si coincide una directiva Deny from).

A las directivas Allow from y Deny from le puede seguir una dirección IP, una red (como 192.168.0.0/255.255.255.0, 192.168.0.0/24 o inclusive 192.168.0), un nombre de equipo o nombre de dominio o la palabra clave all que incluye a todos.

Por ejemplo, para rechazar conexiones de forma predeterminada pero permitir las que provienen de la red local podría usar esto:

Order deny,allow
Allow from 192.168.0.0/16
Deny from all

11.2.4. Analizadores de registros

Generalmente se instala un analizador de registros en un servidor web; ya que éste provee a los administradores una idea precisa sobre los patrones de uso del servidor.

Los administradores de Falcot Corp seleccionaron AWStats (estadísticas web avanzadas: «Advanced Web Statistics) para analizar sus archivos de registro de Apache.

El primer paso de configuración es personalizar el archivo /etc/awstats/awstats.conf. Los administradores de Falcot lo mantuvieron sin cambios más que los siguientes parámetros:

LogFile="/var/log/apache2/access.log"
LogFormat = "%virtualname %host %other %logname %time1 %methodurl %code %bytesd %refererquot %uaquot"
SiteDomain="www.falcot.com"
HostAliases="falcot.com REGEX[^.*\.falcot\.com$]"
DNSLookup=1
LoadPlugin="tooltips"

Todos estos parámetros están documentados con comentarios en el archivo de la plantilla. En particular, los parámetros LogFile y LogFormat describen la ubicación y el formato del archivo de registros y la información que contiene; SiteDomain y HostAliases enumeran los varios nombres con los que se conocerá el sitio web principal.

En sitios con mucho tráfico, no debería definir DNSLookup como 1; para sitios más pequeños, como el de Falcot ya descripto, esta configuración permite conseguir reportes más legibles que incluyen nombres completos de equipos en lugar de sólo direcciones IP.

AWStats también estará activo para otros servidores virtuales; cada servidor virtual necesita su propio archivo de configuración, como /etc/awstats/awstats.www.falcot.org.conf.

Ejemplo 11.21. Archivo de configuración de AWStats para un servidor virtual

Include "/etc/awstats/awstats.conf"
SiteDomain="www.falcot.org"
HostAliases="falcot.org"

AWStats utiliza varios íconos almacenados en el directorio /usr/share/awstats/icon/. Para que éstos estén disponibles en el sitio web, necesita adaptar la configuración de Apache para incluir la siguiente directiva:

Alias /awstats-icon/ /usr/share/awstats/icon/

Luego de unos minutos (y una vez que el script ejecutó varias veces), los resultados estarán disponibles en el sitio web:

→ http://www.falcot.com/cgi-bin/awstats.pl

→ http://www.falcot.org/cgi-bin/awstats.pl

PRECAUCIÓN Rotación de archivos de registro

Para que las estadísticas tengan en cuenta todos los registros, AWStats necesita ejecutar justo antes que se roten los archivos de registro de Apache. Teniendo en cuenta la directiva prerotate del archivo /etc/logrotate.d/apache2, puede solucionarlo agregando un enlace simbólico a /usr/share/awstats/tools/update.sh en /etc/logrotate.d/httpd-prerotate:

$ cat /etc/logrotate.d/apache2
/var/log/apache2/*.log {
  daily
  missingok
  rotate 14
  compress
  delaycompress
  notifempty
  create 644 root adm
  sharedscripts
  postrotate
    if /etc/init.d/apache2 status > /dev/null ; then \
      /etc/init.d/apache2 reload > /dev/null; \
    fi;
  endscript
  prerotate
    if [ -d /etc/logrotate.d/httpd-prerotate ]; then \
      run-parts /etc/logrotate.d/httpd-prerotate; \
    fi; \
  endscript
}
$ sudo mkdir -p /etc/logrotate.d/httpd-prerotate
$ sudo ln -sf /usr/share/awstats/tools/update.sh \
  /etc/logrotate.d/httpd-prerotate/awstats

Sepa también que los archivos de registro creados por logrotate necesitan ser legibles por todos, especialmente AWStats. En el ejemplo anterior, se garantiza esto con la línea create 644 root adm (en lugar de los permisos predeterminados 640).