PID 1

Tag: apache

  • Reconfiguração de Apache e PHP-FPM para hospedagem de múltiplos sites

    Eu admito: na minha instalação do WordPress, eu fui preguiçoso. Eu não cheguei a configurar nenhum arquivo do Apache, eu só aproveitei o diretório padrão /var/www/html, a configuração padrão do PHP-FPM e foi isso.

    Mas, agora, é necessário preparar essa instalação para hospedar mais de uma aplicação em PHP, funcionando pelo mesmo proxy reverso, com alguns requisitos adicionais:

    1. Usar a mesma conexão do OpenVPN, com o mesmo IP, por simplicidade de manutenção.
    2. Manter os sites com algum isolamento um do outro, dificultando que outros sites sejam afetados caso um seja comprometido.

    Para começar, foi criada uma nova pasta para o blog em /var/www/pid1.com.br, para onde o conteúdo foi movido. Como o arquivo de configuração do WordPress fica acima da raiz do site, isso resulta na seguinte estrutura:

    • /var/www/pid1.com.br/wordpress – diretório com o WordPress
    • /var/www/pid1.com.br/wp-config.php – arquivo de configuração

    O requisito de utilizar a mesma conexão do OpenVPN com o mesmo IP é facilmente atendido com o mesmo tipo de recurso que permite o proxy reverso distinguir pra qual servidor uma requisição deve ser direcionada: a identificação pelo nome do host.

    Por padrão, as requisições HTTP vem com um parâmetro Host no cabeçalho. Então basta configurar os sites no Apache com o parâmetro ServerName definido e configurar o proxy reverso para encaminhar esse parâmetro.

    O arquivo de configuração no Apache fica:

    # /etc/httpd/conf.d/pid1.com.br.conf

<VirtualHost *:80>
    ServerName pid1.com.br

    DocumentRoot /var/www/pid1.com.br/wordpress

    <Directory /var/www/pid1.com.br/wordpress>
        AllowOverride All
        Require all granted
    </Directory>

    ErrorLog /var/log/httpd/pid1.com.br_error.log
    CustomLog /var/log/httpd/pid1.com.br_access.log combined
</VirtualHost>

    Na configuração do site no proxy reverso é necessária a seguinte linha:

    proxy_set_header Host $host;

    A configuração do Apache pode ser validada e o serviço reiniciado com os comandos:

    $ httpd -S
# systemctl restart httpd

    Para cumprir o segundo requisito e criar um isolamento entre os sites, podem ser criados diferentes pools do PHP-FPM. Eles funcionam como processos independentes, que podem ser executados com configurações diferentes e por usuários diferentes.

    Para criar um usuário dedicado sem permissão de login:

    # useradd -s /usr/sbin/nologin pid1

    Para configurar o PHP-FPM, basta copiar a configuração padrão – nesse caso feito removendo as linhas comentadas:

    # grep -vE '^;|^\s*$' /etc/php-fpm.d/www.conf | tee /etc/php-fpm.d/pid1.com.br.conf

    E então, editar os parâmetros, substituindo o nome da configuração, nome de usuário e caminho do log.

    ; /etc/php-fpm.d/pid1.com.br.conf

[pid1.com.br]
user = pid1
group = pid1

listen = /run/php-fpm/pid1.sock
listen.acl_users = apache,nginx
listen.allowed_clients = 127.0.0.1

pm = dynamic
pm.max_children = 50
pm.start_servers = 5
pm.min_spare_servers = 5
pm.max_spare_servers = 35

slowlog = /var/log/php-fpm/pid1-slow.log

php_admin_value[error_log] = /var/log/php-fpm/pid1-error.log
php_admin_flag[log_errors] = on
php_value[session.save_handler] = files
php_value[session.save_path] = /var/lib/php/session
php_value[soap.wsdl_cache_dir] = /var/lib/php/wsdlcache

    Então, basta configurar o virtual host do site para utilizar o pool desejado do PHP-FPM para arquivos de extensão .php, adicionando o seguinte bloco dentro do virtual host:

    <FilesMatch \.php$>
    SetHandler "proxy:unix:/run/php-fpm/pid1.sock|fcgi://localhost/"
</FilesMatch>

    Apontando para o socket pertencente ao pool desejado do PHP-FPM.

    Por fim é necessário fazer dois ajustes de permissão:

    • Atribuir a propriedade da pasta e arquivos do WordPress ou outra aplicação em PHP ao usuário e grupo do pool do PHP-FPM – o usuário utilizado não é o do servidor web.
    • Ajustar o contexto do SELinux para permitir escrita pelo PHP-FPM – o padrão é httpd_sys_content_t, sem permissão de escrita.

    A propriedade da pasta pode ser ajusta com o seguinte comando:

    # chown -hR pid1:pid1 /var/www/pid1.com.br/wordpress

    Não esqueça de verificar se as permissões no sistema de arquivos estão adequadas: 755, 750 ou 700 para diretórios, 644, 640 ou 600 para arquivos, dependendo da necessidade. Assim, um processo do PHP–FPM de outro site não tem acesso de escrita na pasta. Eu prefiro utilizar 750 e 640 e adicionar meu usuário aos grupos dos usuários dos sites desejados.

    Para adicionar o contexto de escrita do SELinux à pasta do site:

    # semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/pid1.com.br/wordpress(/.*)?"
# restorecon -Rv /var/www/pid1.com.br

    Alternativamente, você pode ter uma permissão mais restrita, deixando a escrita permitida apenas na pasta de posts e mídia do WordPress:

    # semanage fcontext -a -t httpd_sys_rw_content_t "/var/www/pid1.com.br/wp-content(/.*)?"

    E permitindo a escrita de forma temporária nos arquivos adequados ao performar atualizações do WordPress ou ajuste de configurações:

    # chcon -R -t httpd_sys_rw_content_t /var/www/pid1.com.br

    Podendo depois ser revertida aplicando o contexto configurado do SELinux:

    # restorecon -Rv /var/www/pid1.com.br

    Caso desejar uma configuração mais restrita ainda, pode-se deixar toda a pasta com propriedade do root, com exceção de wp-content/* e wp-config.php, e alterar para a propriedade do usuário que executa o PHP-FPM apenas quando for realizar uma atualização do WordPress.

    Para facilitar o ajuste de permissões na hora de atualizar, deixei dois scripts simples em /var/www/pid1.com.br:

    #!/bin/bash
#/var/www/pid1.com.br/allow-write.sh

script_path=$(realpath "$0")
script_dir=$(dirname "$script_path")
php_user=pid1

chown -hR $php_user:$php_user $script_dir
chcon -R -t httpd_sys_rw_content_t $script_dir
setsebool httpd_can_network_connect on
    #!/bin/bash
#/var/www/pid1.com.br/block-write.sh

script_path=$(realpath "$0")
script_dir=$(dirname "$script_path")
php_user=pid1

chown -hR root:root $script_dir
chown -hR $php_user:$php_user $script_dir/wordpress/wp-content
chown $php_user:$php_user $script_dir/wp-config.php
restorecon -Rv $script_dir
setsebool httpd_can_network_connect false

    Para configurar outros sites, basta seguir com a mesma estrutura:

    • Criar estrutura de pasta separada
    • Criar usuário para o PHP-FPM
    • Configurar pool independente do PHP-FPM com usuário dedicado
    • Ajustar permissões do sistema de arquivos e contexto do SELinux
    • Configurar o site no Apache
    • Configurar o site no proxy reverso
    post scriptum

  • Instalação e configuração do WordPress

    WordPress é um sistema livre e aberto de gestão de conteúdo para a web, baseado em PHP e banco de dados compatíveis com MySQL. É comumente usado para criação de blogs, lojas virtuais e landing pages. O WordPress é distribuído gratuitamente sob a licença GPL-2.0, contando também com a opção de plugins e temas pagos que podem ser distribuídos sob outras licenças.

    Antes de começar o processo de instalação, é bom verificar os requisitos do WordPress pra determinar em qual versão de qual sistema operacional instalar, já que ele tem requisitos de versão mínima recomendada do interpretador PHP e dos bancos de dados MySQL e MariDB.

    Eu optei pelo CentOS Stream 10, mas as instruções podem se aplicar também a diferentes versões, bem como sistemas da mesma “família”: Fedora, RHEL, Alma Linux e Rocky Linux.

    O WordPress pode ser baixado em: https://br.wordpress.org/download/

    Comece instalando os pacotes necessários – servidor web, PHP e banco de dados:

    # dnf install httpd php php-mysqlnd php-gd mariadb-server

    Habilite e inicie os serviços.

    # systemctl enable --now httpd mariadb php-fpm

    Configure o firewall:

    # firewall-cmd --permanent --add-service=http
# firewall-cmd --reload

    Você pode testar se o servidor web está ativo e processando PHP criando um arquivo /var/www/html/index.php com o seguinte conteúdo:

    <?php phpinfo() ?>

    Após verificar que está tudo funcionando, hora de configurar o banco de dados. Comece com o comando:

    # mysql_secure_installation

    E siga os prompts com o que for recomendado:

    NOTE: RUNNING ALL PARTS OF THIS SCRIPT IS RECOMMENDED FOR ALL MariaDB
      SERVERS IN PRODUCTION USE!  PLEASE READ EACH STEP CAREFULLY!

In order to log into MariaDB to secure it, we'll need the current
password for the root user. If you've just installed MariaDB, and
haven't set the root password yet, you should just press enter here.

Enter current password for root (enter for none):
OK, successfully used password, moving on...

Setting the root password or using the unix_socket ensures that nobody
can log into the MariaDB root user without the proper authorisation.

You already have your root account protected, so you can safely answer 'n'.

Switch to unix_socket authentication [Y/n] n
 ... skipping.

You already have your root account protected, so you can safely answer 'n'.

Change the root password? [Y/n] n
 ... skipping.

By default, a MariaDB installation has an anonymous user, allowing anyone
to log into MariaDB without having to have a user account created for
them.  This is intended only for testing, and to make the installation
go a bit smoother.  You should remove them before moving into a
production environment.

Remove anonymous users? [Y/n] Y
 ... Success!

Normally, root should only be allowed to connect from 'localhost'.  This
ensures that someone cannot guess at the root password from the network.

Disallow root login remotely? [Y/n] Y
 ... Success!

By default, MariaDB comes with a database named 'test' that anyone can
access.  This is also intended only for testing, and should be removed
before moving into a production environment.

Remove test database and access to it? [Y/n] Y
 - Dropping test database...
 ... Success!
 - Removing privileges on test database...
 ... Success!

Reloading the privilege tables will ensure that all changes made so far
will take effect immediately.

Reload privilege tables now? [Y/n] Y
 ... Success!

Cleaning up...

All done!  If you've completed all of the above steps, your MariaDB
installation should now be secure.

Thanks for using MariaDB!

    Depois entre no shell do MariaDB com:

    # mysql

    E crie o banco de dados e usuário que serão usados pelo WordPress e configure as devidas permissões:

    > CREATE DATABASE wordpress_db COLLATE = 'utf8mb4_unicode_ci';

> CREATE USER 'wordpress_user'@'localhost' IDENTIFIED BY 'uma_senha_segura';

> GRANT ALL PRIVILEGES ON wordpress_db.* TO 'wordpress_user'@'localhost';

> FLUSH PRIVILEGES;

> \q

    Com isso pronto, extraia o zip baixado do WordPress na raiz do seu servidor web, /var/www/html, ou em uma subpasta. Então acesse sua página e configure seu WordPress.

    Detalhe adicional: você provavelmente vai se deparar com um “Erro desconhecido” ao tentar adicionar outros temas ou plugins. Isso acontece porque o módulo de segurança SELinux restringe o acesso dos processos do httpd à rede.

    Para permitir o acesso de forma permanente:

    # setsebool -PV httpd_can_network_connect true

    Dicas:

    • Ajuste a permissão do arquivo wp-config.php para 400 e mova-o para fora da raiz do diretório do WordPress. Ex: WordPress está em /var/www/html, mova o arquivo para /var/www. Nenhuma configuração é requerida o WordPress funciona.
    • O WordPress não tem nenhuma proteção contra ataques de força bruta na página wp-admin. Limite o acesso por IP. No meu caso, isso foi configurado no Nginx que atua como proxy reverso, o que vai ser abordado em outro post.