Erfahrungen apache2 mit PHP 5 als FastCGI

[Waleb]

apache2/error.log

Code: Alles auswählen

[Sat Feb 24 16:11:09 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:09 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6692) started
[Sat Feb 24 16:11:10 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:10 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6693) started
[Sat Feb 24 16:11:11 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:11 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6694) started
[Sat Feb 24 16:11:12 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:12 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6695) started
[Sat Feb 24 16:11:13 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:13 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6696) started
[Sat Feb 24 16:11:13 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6695) exit(server exited), terminated by calling exit(), return code: 120
[Sat Feb 24 16:11:13 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6694) exit(server exited), terminated by calling exit(), return code: 120
[Sat Feb 24 16:11:13 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6693) exit(server exited), terminated by calling exit(), return code: 120
[Sat Feb 24 16:11:13 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6692) exit(server exited), terminated by calling exit(), return code: 120
[Sat Feb 24 16:11:14 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:14 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6697) started
[Sat Feb 24 16:11:15 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:15 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6698) started
[Sat Feb 24 16:11:16 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:16 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6699) started
[Sat Feb 24 16:11:17 2007] [notice] mod_fcgid: call /var/www/waleb.net/w.php with wrapper /var/www/php-fcgi-waleb.net
suexec policy violation: see suexec log for more details
[Sat Feb 24 16:11:17 2007] [notice] mod_fcgid: server /var/www/waleb.net/w.php(6700) started
[Sat Feb 24 16:11:17 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6699) exit(server exited), terminated by calling exit(), return code: 120
[Sat Feb 24 16:11:17 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6698) exit(server exited), terminated by calling exit(), return code: 120
[Sat Feb 24 16:11:17 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6697) exit(server exited), terminated by calling exit(), return code: 120
[Sat Feb 24 16:11:17 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6696) exit(server exited), terminated by calling exit(), return code: 120
[Sat Feb 24 16:11:21 2007] [notice] mod_fcgid: process /var/www/waleb.net/w.php(6700) exit(server exited), terminated by calling exit(), return code: 120

apache2/suexec.log

Code: Alles auswählen

[2007-02-24 16:11:52]: uid: (1001/wwwbenutzer) gid: (1001/1001) cmd: php-fcgi-waleb.net
[2007-02-24 16:11:52]: target uid/gid (1001/1001) mismatch with directory (0/0) or program (1001/1001)

[rolo]

Code: Alles auswählen

chown -R wwwbenutzer:wwwbenutzer /var/www

damit setzt du ab /var/www (rekursiv) wwwbenutzer als user und gruppe ein. ansonsten kommt suexec damit nicht klar.

[Waleb]

Es geht

juhu. Die php-fcgi-waleb.net wollte auch noch Executerechte und nun gehts!

Danke dir vielmals!

[rolo]

setz noch das immutable bit auf die php-fcgi-waleb.net falls noch nicht getan.

Code: Alles auswählen

chattr -V +i php-fcgi-waleb.net

[Waleb]

Ok, zusammenfassend (als kleinen Merkzettel an mich). Wenn ich einen neuen vhost anlege muss ich:

in /var/www eine neue php-fcgi-xyz - Datei anlegen. (744 owner: xyzbenutzer:xyzbenutzer + immutable bit)
in /var/www einen neuen Ordner "xyz" anlegen (=DocRoot) (owner: xyzbenutzer:xyzbenutzer)
in /etc/apache2/sites-available einen neuen vhost anlegen

Ist das korrekt?

[Waleb]

Hallo,

ich muss nochmal auf den Threat hier zurückgreifen . Ich habe ein bisschen umstrukturiert, nun sieht es so aus:

Code: Alles auswählen

waleb:/var/www# ls -l -R
.:
total 8
drwx--x--x 3 waleb   waleb   4096 2007-02-25 17:00 waleb.net
drwx--x--x 3 wwwroot wwwroot 4096 2007-02-24 17:31 wwwroot

./waleb.net:
total 8
drwx--x--x 2 waleb waleb 4096 2007-02-25 17:04 docroot
-r-x------ 1 waleb waleb  122 2007-02-24 16:39 php-fcgi-waleb.net

./waleb.net/docroot:
total 4
-rwx------ 1 waleb waleb 20 2007-02-24 17:34 index.php

./wwwroot:
total 8
drwx--x--x 2 wwwroot wwwroot 4096 2007-02-24 18:17 docroot
-r-x------ 1 wwwroot wwwroot  121 2007-02-24 17:30 php-fcgi-wwwroot

./wwwroot/docroot:
total 4
-rwx--x--x 1 wwwroot wwwroot 20 2007-02-24 17:40 index.php
lrwxrwxrwx 1 root    root    21 2007-02-24 18:17 phpmyadmin -> /usr/share/phpmyadmin

Ich frage mich momentan wie ich am besten die chmod für die Ordner und Dateien einstelle.

1. Wenn ich 700 oder 770 für die Ordner docroot vergebe werden die Seiten nicht mehr angezeigt:

Forbidden

You don't have permission to access / on this server.

Wenn ich 711 oder 701 setze geht es. Kann mir jemand erklären warum?

2. Warum setze ich dieses Immutable Bit bei den Dateien php-fcgi-xy wenn ich den Benutzern doch die Schreibrechte entziehen kann?

3. Wie verhindere ich das ein User die Daten des anderen sieht? - Ok, chmod 700 aber wenn ein Benutzer eine neue Datei erstellt hat die ja nicht automatisch die Rechte des übergeordneten Ordners oder?

[Kase]

1. Das Problem ist, dass alle Files mit einer Endung, die NICHT *.php ist, als User www-data vom Apache versucht werden zu lesen. Nur PHP Dateien werden als USER ausgeführt.

Abhilfe schafft hier folgende Config:

Alle Dateien haben die Rechte USER:www-data 740

PHP kann dann die Dateien als USER:USER durch das 7 für User ausführen.

Der Apache kann alle nicht-PHP-Dateien dank des 4 für die Gruppe www-data lesen. Der Apache selbst muss dafür natürlich als www-data:www-data laufen.

Die Rechte für Others sollten auf jeden Fall 0 sein.

Es ist darauf zu achten, dass PHP-Files als USER:USER und NICHT als USER:www-data ausgeführt werden, da nur so sichergestellt ist, dass PHP nur die Files des vHosts lesen kann.

Außerdem ist darauf zu achten, dass es keinen vHost gibt, der irgendwelche Scripte als www-data ausführen darf, weder User noch Group, www-data dürfen wirklich nur statische Seiten sein (html, Bilder, Files, usw), die der Apache liest.

2. Du setzt das Bit, da die Files dem User gehören müssen, sonst meckert suexec. Natürlich kannst du den Files die Schreibrechte entziehen, da die Files dann aber immer noch dem gleichen User gehören, der sie ausführt, kann der die Schreibrechte natürlich ganz einfach wieder setzen... http://www.php.net/chmod oder http://www.php.net/system

3. Durch die oben beschriebene Config kann kein User die Dateien eines anderen sehen.

Statische Dateien werden durchs DocRoot vom jeweiligen vHost geschützt, Scripte laufen als USER1:USER1 und haben dann natürlich absolut keine Rechte auf andere Scripte, die zum Beispiel USER2:www-data gehören.

[Waleb]

Ok, das klappt perfekt.

Ich habe nur noch ein Problem:

Was mache ich wenn jemand der von dem Zeug keine Ahnung hat Dateien hochläd? Seis ftp oder ssh er kann ja jeweils den chmod verändern oder noch warscheinlicher: er wird die Dateien und Ordner schon mit falschem chmod hochladen.

Was kann man da machen?

[Kase]

FTP bzw SCP richtig konfigurieren. Stichworte: User, Group, umask (chmod)

Im schlimmsten Fall jede Nacht einen Cronjob laufen lassen, der die Rechte recursiv richtig setzt.

[Zonk]

Hallo, ich hab mal probiert eurem Howto zu folgen, da ich grade an dem Gleichen problem stehe.
WEnn cih fertig bin, stell ich das ganze auf meiner Wikipage online, damit mehrere Leute diese Hilfe nutzen können.. nun zu minem problem:


hatte bisher PHP5 mit Suexecund fastcgi am laufen, lief allerdings nnciht schön da zwar php funzte, aber suexec nicht..


habe deswegen ganz kahl geschlagne und mit eurem HowTo neu angefangen.. Suexec läut jetzt schön und checkt auch die Filepermissions, jedoch kann ich keine PHP-dateien Starten..

als fehler komtm im apache2/error.log immer

Code: Alles auswählen

[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31900) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31901) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31902) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31903) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31904) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31905) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31906) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31907) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31908) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31909) started
[Wed Feb 28 20:04:57 2007] [notice] mod_fcgid: server /var/www/default/web/test.php(31910) started
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31910) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31909) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31908) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31907) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31906) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31905) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31904) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31903) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31902) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31901) exit(server exited), terminated by calling exit(), return code: 255
[Wed Feb 28 20:05:03 2007] [notice] mod_fcgid: process /var/www/default/web/test.php(31900) exit(server exited), terminated by calling exit(), return code: 255

ich habe den verdacht dass es irgendwie am /var/www/default/conf/php-fcgi-starter liegt, oder an der /etc/apache2/mods-available/fcgid.conf liegt, weiß aber niht was:

mein wrapper /var/www/default/conf/php-fcgi-starter sieht so aus:

Code: Alles auswählen

#!/bin/sh
PHPRC="/var/www/default/conf/"
export PHPRC
PHP_FCGI_CHILDREN=4
export PHP_FCGI_CHILDREN
exec /usr/bin/php5-cgi

meine /etc/apache2/mods-available/fcgid.conf:

Code: Alles auswählen

<IfModule mod_fcgid.c>
  AddHandler fcgid-script .fcgi
  AddHandler fcgid-script .php
#  SocketPath /var/lib/apache2/fcgid/sock
  SocketPath /var/run/apache2/
</IfModule>

Ob der Socket Path der Richtige ist, hab ihc keine Ahnung.. wofür ist er denn? wer legt ihn an und wer nutzt ihn?


Ich hoffe ihr könnt mir helfen.

Grüße Zonk

[rolo]

Code: Alles auswählen

PHPRC="/var/www/default/conf/"

da kommt der pfad zu der von dir für den vhost genutzten php.ini rein. du kannst auch eine seite zurückblättern, da findest du eine möglichkeit.

Code: Alles auswählen

<IfModule mod_fcgid.c>
  AddHandler fcgid-script .fcgi
  AddHandler fcgid-script .php
#  SocketPath /var/lib/apache2/fcgid/sock
  SocketPath /var/run/apache2/
</IfModule> 

hat's einen grund, warum du den SocketPath geändert hast?

ansonsten passen, soweit ich das richtig sehe, diese beiden pfade nicht zusammen:

Code: Alles auswählen

/var/www/default/web/test.php
/var/www/default/conf/php-fcgi-starter

[/code]

[Zonk]

nein, nur ein versuch..

Die php ini hab ich einmal als Pfad probiert, einmal als Pfad/php.ini

WElchen Socket hast ud bie dir laufen?

auf dme Debuglevel kommen je nach Socket einmal

Code: Alles auswählen

[debug] arch/unix/fcgid_proc_unix.c(487): (111)Connection refused: mod_fcgid: can't connect unix domain socket: /var/lib/apache2/fcgid/sock/761.0

und einmal

Code: Alles auswählen

 [info] (104)Connection reset by peer: mod_fcgid: read data from fastcgi server error.

[rolo]

> WElchen Socket hast ud bie dir laufen?
den anderen halt:

Code: Alles auswählen

SocketPath /var/lib/apache2/fcgid/sock

[Zonk]

wie lautet deine fcgi.conf vollständig?

mit deinem socketpath lautet die apache raeaktion:

Code: Alles auswählen

[notice] Apache/2.0.54 (Debian GNU/Linux) configured -- resuming normal operations
[notice] mod_fcgid: server /var/www/default/web/test.php(1178) started
[info] (104)Connection reset by peer: mod_fcgid: read data from fastcgi server error.
[error] [client xxx.xxx.xxx.xxx] Premature end of script headers: test.php
[notice] mod_fcgid: process /var/www/default/web/test.php(1178) exit(communication error), terminated by calling exit(), return code: 255

ich verstehe nicht was falsch läuft, wo sich der mod_fcgid verschluckt..
Seltsamerweise wird auch jeder test.php -Aufruf mit 10 Versuchen begleitet...
enden tut es mit

Code: Alles auswählen

[Wed Feb 28 21:27:59 2007] [debug] arch/unix/fcgid_proc_unix.c(487): (111)Connection refused: mod_fcgid: can't connect unix domain socket: /var/lib/apache2/fcgid/sock/1287.24
[Wed Feb 28 21:27:59 2007] [info] mod_fcgid: can't apply process slot for /var/www/default/web/test.php

was meint er mit fastgi server?

brauche ich zusätzlich das mod_fastcgi?

[rolo]

> wie lautet deine fcgi.conf vollständig?
ausser das ich den addhandler

Code: Alles auswählen

AddHandler fcgid-script .php

im vhost stehen habe, stimmt das dann schon überein.

[Zonk]

Hmm ihc glaub ich gebs bald auf, nun sind schon 2 komplette tage hin.. entweder ich nehme mod:fastcgi, dann geht fastcgi aber keine Suexec, oder ich nehme mod_fcgid, dann geht suexec aber kein webserver mehr...

Kann ja nciht sein dass es da keine Lauffähige variante gibt..

[rolo]

Hmm ihc glaub ich gebs bald auf, nun sind schon 2 komplette tage hin

ich sitze da schon etwas länger dran, und bei mir läuft auch nicht alles, wie ich es gerne hätte, siehe hier:
hier
aber bei dem part, den du gerade zusammen bastelst, kann ich dich beruhigen, den bekommst du wahrscheinlich mit ein wenig mehr geduld schon gebacken.
ich weiss allerdings auch nicht was du jetzt umgesetzt hast. der pfad

Code: Alles auswählen

/var/www/default/web/test.php

scheint noch der gleiche zu sein, hast du den anderen angepasst?

[Zonk]

kansnt du mir mal einen kompletten configsatz geben?
willes mal 1 zu 1 zusammenbacken.. im Threadverlauf kann man leider nicht verfolgen welche Config aus welchem Stadium ist..

ich bräuchte vhost , fcgid.conf, php-fcgi-starter und verzeichnisstruktur

evtl kann ichs 1 zu 1 nachbacken

Ah, ich habe schonmal was rausgefunden: Der Unterscheid zwischen mod_fcgid und mod_fastcgi ist nicht sonderlich groß.
Sie sind Byte-Kompatibel, machen nach aussen hin identisch das gleiche, nur die implementierung und der Ansatz dahinter ist anders.
Welchen mod iich also für PHP mit fast-cgi nutze, ist egal..

Testweise habe ich mal mein fertiges php5-cgi paket auf einem alten System laufen ,was mit fastcgi zwar phps bearbeiten kann, aber Suexec nicht ausführt.. So habe ich wenigstens festgestellt, dass das PHP-packet WIRKLICH die Fastcgi-schnittstelle einkompiliert hat.

Auf meinem Problemsystem kann ich beide mods ( fcgid & fastcgi laden, doch immer wenn es um die ausführung geht, haken beide Module... wie versuchen den prozess zu spawnen, aber brechen dann entweder ganz ab (fcid) oder verlagern es immer 300Sekunden nach hinten....


[EDIT]
So, ich habe jetzt mal aufgeräumt.. alle Spuren von mod_fastcgi sind getilgt
Ich probiere es mit mod_fcgid

Momentan schauts ganz gut aus, er kapiert das er fcgi nehmen soll, probiert es auch, scheitert aber daran dass er nicht zum Socket verbinden kann:

Code: Alles auswählen

Connection refused: mod_fcgid: can't connect unix domain socket: /var/lib/apache2/fcgid/sock/17211.7

ich habe die Verzeichnisrechte überprüft, ich kann mit su www-data in das Verzeichnis Dateien erstellen.
Wenn ich die php-Datei im Browser aufrufe, werden in das Verzeichnis auch kurz zwei Sockets erstelt, verschwinden aber eine halbe Sekunde später wieder..

Ich hab den Verdacht es liegt an der Socketklamotte, habe aber keinen Ansatz es zu reparieren.

[Kase]

Code: Alles auswählen

Connection refused: mod_fcgid: can't connect unix domain socket

bedeutet in 99% der Fälle, dass der PHP-FCGI Prozess nicht gestartet werden konnte.

Warum verrät dir /var/log/apache2/suexec.log (bei Debian) oder eventuell die Ausgabe von

Code: Alles auswählen

/path/to/phpbin/php-cgi -v

Hast du auch nicht vergessen den FCGIWarapper im vHost zu setzen?

Code: Alles auswählen

FCGIWrapper /var/www/php-fcgi-scripts/vhost/php-fcgi-starter .php

[Zonk]

Japp ist drin, aber hilft leider nix... habs jetzt auf nem testsystem wenigstens mal mit fastcgi wieder am laufen, allerdings macht dort Suexec nciht dass was es soll.. aber evlt kann ich von dieser funktionierenden Konfig auf fcgid umschwenken, soll ja Bytekompatibel sein.

GRüße Zonk

[Pawel]

Code: Alles auswählen

Connection refused: mod_fcgid: can't connect unix domain socket

AFAIR ist die Ursache für diesen Fehler die Stable Version von fcgid. Ein Update auf Testing (Etch) hilft da sehr. Auch sind einige (teilweise) nervige Bugs weniger drin.

[Kase]

Poste doch bitte mal deine suexec.log

[Zonk]

AFAIR ist die Ursache für diesen Fehler die Stable Version von fcgid. Ein Update auf Testing (Etch) hilft da sehr.

Das ist ja mal ein Ansatz:). Hatte schon dne apache im Verdacht.. werd ich heute gleich mal ausprobieren!! evtl klappts dann ja doch *g* *freu*


wie muss ich mein Debian Sarge konfigurierenn, dass er das Paket als Testing nimmt, ohne dass ihc mir da was zerschiesse? Besonders im Hinblick auf Updates?

Grüße Zonk

[Pawel]

wie muss ich mein Debian Sarge konfigurierenn, dass er das Paket als Testing nimmt, ohne dass ihc mir da was zerschiesse? Besonders im Hinblick auf Updates?

Das wurde schon besprochen, siehe folgendes oder hier steht, wie man die Sourcen aus dem Unstable Zweig bekommt. Vorsicht, beim letzteren stellt man als Default-Release "testing" ein.

[cirox]

läuft das "libapache2-mod-fcgid (1:1.10-2)" aktuell in TESTING (ETCH) auch mit Apache 2.0 in SARGE? Weil laut http://packages.debian.org/testing/net/ ... -mod-fcgid hängt es ja von Apache2.2 ab.

gruß cirox