2020.5.24-第十二天

使用Apache服务部署静态网站

碎碎念：apache好难啊！

Apache服务

Apache程序是目前拥有很高市场占有率的Web服务程序之一，其跨平台和安全性广泛被认可且拥有快速、可靠、简单的API扩展。Apache服务程序可以运行在Linux系统、UNIX系统甚至是Windows系统中，支持基于IP、域名及端口号的虚拟主机功能，支持多种认证方式，集成有代理服务器模块、安全Socket层（SSL），能够实时监视服务状态与定制日志消息，并有着各类丰富的模块支持。

Apache程序是在RHEL 5、6、7系统的默认Web服务程序，其相关知识点一直也是RHCSA和RHCE认证考试的重点内容。

注意，使用yum命令进行安装时，跟在命令后面的Apache服务的软件包名称为httpd。如果直接执行yum install apache命令，则系统会报错。（可使用本地YUM源进行安装）

一、配置服务文件参数

安装完httpd服务之后，要记得让任务开机自启动（systemctl enable httpd）
httpd服务程序的主要配置文件及存放位置如下：

在httpd服务程序的主配置文件中，存在三种类型的信息：注释行信息、全局配置、区域配置：

全局配置参数就是一种全局性的配置参数，可作用于对所有的子站点，既保证了子站点的正常访问，也有效减少了频繁写入重复参数的工作量；
区域配置参数则是单独针对于每个独立的子站点进行设置的。

在httpd服务程序主配置文件中，最为常用的参数为：

DocumentRoot参数用于定义网站数据的保存路径，其参数的默认值是把网站数据存放到/var/www/html目录中；而当前网站普遍的首页面名称是index.html，因此可以向/var/www/html目录中写入一个文件，替换掉httpd服务程序的默认首页面，该操作会立即生效。

在默认情况下，网站数据是保存在/var/www/html目录中，而如果想把保存网站数据的目录修改为/home/wwwroot目录（任意目录）：
第1步：建立网站数据的保存目录，并创建首页文件：
第2步：打开httpd服务程序的主配置文件，将约第119行用于定义网站数据保存路径的参数DocumentRoot修改为/home/wwwroot，同时还需要将约第124行用于定义目录权限的参数Directory后面的路径也修改为/home/wwwroot：

第3步：重新启动httpd服务程序并验证效果：

只有在网站的首页面文件不存在或者用户权限不足时，才显示httpd服务程序的默认首页面。出现这种状况，也已先把SELinux暂时关闭来测试。

二、SELinux安全子系统

SELinux（Security-Enhanced Linux）是美国国家安全局在Linux开源社区的帮助下开发的一个强制访问控制（MAC，Mandatory Access Control）的安全子系统。RHEL 7系统使用SELinux技术的目的是为了让各个服务进程都受到约束，使其仅获取到本应获取的资源。
它能够从多方面监控违法行为：对服务程序的功能进行限制（SELinux域限制可以确保服务程序做不了出格的事情）；对文件资源的访问限制（SELinux安全上下文确保文件资源只能被其所属的服务程序进行访问）。
“SELinux域”和“SELinux安全上下文”可以称为是Linux系统中的双保险，系统内的服务程序只能规规矩矩地拿到自己所应该获取的资源，这样即便黑客入侵了系统，也无法利用系统内的服务程序进行越权操作。
SELinux域：限制服务功能；
SELinux安全上下文：限制文件权限。
SELinux服务有三种配置模式，具体如下：
enforcing：强制启用安全策略模式，将拦截服务的不合法请求。permissive：遇到服务越权访问时，只发出警告而不强制拦截。
disabled：对于越权的行为不警告也不拦截。
虽然在禁用SELinux服务后确实能够减少报错几率，但这在生产环境中相当不推荐。

以下实验都是在强制启用安全策略模式下进行：

SELinux服务的主配置文件中，定义的是SELinux的默认运行状态，可以将其理解为系统重启后的状态，因此它不会在更改后立即生效。可以使用getenforce命令获得当前SELinux服务的运行模式：

可以用setenforce [0|1]命令修改SELinux当前的运行模式（0为禁用，1为启用）。注意，这种修改只是临时的，在系统重启后就会失效：

httpd服务程序的功能是允许用户访问网站内容，因此SELinux肯定会默认放行用户对网站的请求操作。/home目录是用来存放普通用户的家目录数据的，而现在，httpd提供的网站服务却要去获取普通用户家目录中的数据了，这显然违反了SELinux的监管原则。
分别查看原始网站数据的保存目录与当前网站数据的保存目录是否拥有不同的SELinux安全上下文值：

“ls -lZ（d） 文件（目录）”显示安全上下文：（用户u：角色r：类型t：级别s）用户段system_u代表系统进程的身份，角色段object_r代表文件目录的角色，类型段httpd_sys_content_t代表网站服务的系统文件。

1.semanage命令

semanage命令用于管理SELinux的策略，格式为“semanage [选项] [文件]”，可以修改文件的SELinux安全上下文。
semanage命令不仅能够像传统chcon命令那样—设置文件、目录的策略，还可以管理网络端口、消息接口。
常用参数：

修改上个例子的SELinux上下安全文：

执行上述设置之后，还无法立即访问网站，还需要使用restorecon命令将设置好的SELinux安全上下文立即生效。
在使用restorecon命令时，可以加上-Rv参数对指定的目录进行递归操作，以及显示SELinux安全上下文的修改过程：

三、虚拟主机功能

Apache的虚拟主机功能是服务器基于用户请求的不同IP地址、主机域名或端口号，实现提供多个网站同时为外部提供访问服务的技术，用户请求的资源不同，最终获取到的网页内容也各不相同。

1.基于IP地址

如果一台服务器有多个IP地址，而且每个IP地址与服务器上部署的每个网站一一对应，这样当用户请求访问不同的IP地址时，会访问到不同网站的页面资源。而且，每个网站都有一个独立的IP地址，对搜索引擎优化也大有裨益。因此以这种方式提供虚拟网站主机功能不仅最常见，也受到了网站站长的欢迎。

在httpd服务的配置文件中大约113行处开始，分别追加写入三个基于IP地址的虚拟主机网站参数，然后保存并退出。记得需要重启httpd服务，这些配置才生效。

修改SELinux安全上下文：

2.基于主机域名

当服务器无法为每个网站都分配一个独立IP地址的时候，可以尝试让Apache自动识别用户请求的域名，从而根据不同的域名请求来传输不同的内容。在这种情况下的配置更加简单，只需要保证位于生产环境中的服务器上有一个可用的IP地址就可以了。
/etc/hosts是Linux系统中用于强制把某个主机域名解析到指定IP地址的配置文件。（只要这个文件配置正确，即使网卡参数中没有DNS信息也依然能够将域名解析为某个IP地址）


（这里面的Servername 改成hosts文件内的域名。）

3.基于端口号

基于端口号的虚拟主机功能可以让用户通过指定的端口号来访问服务器上的网站资源。在使用Apache配置虚拟网站主机功能时，基于端口号的配置方式是最复杂的。因此我们不仅要考虑httpd服务程序的配置因素，还需要考虑到SELinux服务对新开设端口的监控。
一般来说，使用80、443、8080等端口号来提供网站访问服务是比较合理的，如果使用其他端口号则会受到SELinux服务的限制。

vim /etc/httpd/conf/httpd.conf 修改HTTPD配置文件。


除此之外，基于端口号的服务配置还需要做多一步。
以使用semanage命令查询并过滤出所有与HTTP协议相关且SELinux服务允许的端口列表：

没有设置好的端口，就需要手动添加（该操作会立即生效，且系统重启后依然有效）：