httpd: chroot & vhosts

[Sir_Blizzardz]

Hallöchen,
da es nicht immer sinnvoll ist, httpd mit chroot zu verwenden, ich aber auch nicht gänzlich darauf verzichten möchte, habe ich mir überlegt, die chroot-Umgebung von httpd aktiviert zu lassen und die 2 Unterseiten, für die eine chroot-Umgebung zu konfigurieren zu kompliziert wäre mittels vhosts auszulagern. Ich bin mir aber nicht sicher, ob das geht.
Kann man die chroot-Umgebung für einzelne vhosts aktivieren/deaktivieren?

 

[Bytesplit]

Hello!

sollte ich Dich richtig verstanden haben... möchtest das Unix-chroot mit dem Apache vhost-Feature kombinieren.

Der Apache Host-Prozess müsste hierzu wohl Child-Prozesse im chroot starten. Das wiederum soll selektiv geschehen. Manche Domains sollen ja nicht ins Chroot...

Bis jetzt glaub ich nicht, dass das von Hause aus möglich ist.

Wenn man Google befragt, so kennt dieser ein paar Tricks für z.B. fcgi/php. Wenn es also nur um ein paar Skripte geht, vielleicht ja ein Ansatz.

Mein (nicht so Ressourcen-schonender) Ansatz wäre der:
Apache Frontend mit mod_proxy zum reverse Proxien an einen Apache im Chroot.

So würden bestimmte Vhosts mit eigenem Apache im Chroot laufen. Statt Apache könnte natürlich auch Lighty oder Nginx zum Zuge kommen. Hängt eigentlich nur davon ab, was Du letztendlich für Content hast.

Fehler im Frontend-Apachen könntest Du nur vermeiden, wenn Du auch den in ein Chroot packst. Am Ende hättest Du dann unterschiedliche Chroots für unterschiedliche Vhosts.

Hm, mehr kommt mir jetzt so als Schnellschuss nicht in den Sinn..

 

[Bytesplit]

Hm, mehr kommt mir jetzt so als Schnellschuss nicht in den Sinn..

Doch noch was: www.seaoffire.net/fcgi-faq.html

Apache bietet im Vhost auch ein suexec mit dem Du wiederum nen einzelnen Vhost chrooten kannst. Dumm ist dabei allerdings, dass der Apache fürs suexec root-Rechte braucht. Hier die Doc von Apache: http://httpd.apache.org/docs/2.2/suexec.html.

HTH

 

[oenone]

Du kannst auch Apache zweimal mit unterschiedlicher config starten - einmal mit und einmal ohne chroot. Der ohne auf einem anderen port und/oder nur localhost, dann kannst du den mit chroot durch mod_proxy für bestimmte vhosts auf den ohne zugreifen. (oder umgekehrt, je nachdem was du lieber willst.)