LAMP++

Mi is az a chroot és mire jó?

Alapesetben egy alkalmazás mindenhez hozzáfér, amihez az őt futtató user hozzáférhet. Ezt lehet leszűkíteni chroot alkalmazásával.
Linuxokon ez nem túl bonyolult dolog, vagy magának az alkalmazásnak van ilyen beépített lehetősége, vagy pedig a chroot parancsal lehet megoldani (ez mindig működik).

A jó chroot csak azt a minimumot tartalmazza, ami kell az adott alkalmazás futtatásához. Általában ez okozza a problémát is vele, nem mindig egyszerű összeszedni, hogy mi is az a minimum...

Mit érdemes chroot -ba rakni és mit nem?

• Webes alkalmazás-szerver: mindenképp. Tulajdonképpen ez a lényeg, itt esik be a legtöbb kérés és mivel mindenhonnan elérhetőnek kell lennie nemnagyon lehet másképp védeni.
• Web proxy: nem árt. Picit kapcsolódik az elöbbihez és elég könnyű megvalósítani.
• Adatbázis-szerver: általában nem kell. Ha az adatbázis-szerver nem érhető el kívülről akkor szerintem nem szükséges chroot -olni.
• Távoli elérés, SSH, FTP: user szintű chroot szükséges. Ezeknél magát az alkalmazást nem, viszont a belépett felhasználót mindenképp egy adott (user függő) helyre célszerű zárni. Mivel ezeknek a szolgáltatásoknak általában nem kell, hogy mindenhonnna elérhetőek legyenek, ezért tűzfallal is elég jól lehet őket védeni.
• Levelezés: lehet. Általában minden webszervernek kell tudni levelet küldeni és fogadni, úgyhogy nem árt ide is némi + védelem.

Chroot -hoz először is kell egy könyvtár, az új gyökér helye. Ezen belül kell létrehozni azt a minimális könyvtárstruktúrát ami az alkalmazásoknak kell. Az alkalmazás-szerver (Apache) és a proxy szerver (nginx) ugyan abba a könyvtárba (/var/www) lesz chroot -olva, de természetessen különböző user nevében futnak.
Mivel a /var olyan opciokkal van felmountolva, hogy nem engedi meg fájlok futtatását ezért közvetlenül nem lehet a chroot alá bemásolni a futtatandó fájlokat. A legegyszerűbb megoldás RAM diszkek alkalmazása erre a célra. (Ha valaki sajnálja a memóriát akkor másik partícióról néhány könyvtár be bind mount -olása is megoldás.) Természetessen a RAM diszkek tartalmát célszerű valahol a hdd -n is megőrizni és boot után a helyére másolni. Ilyen feladatokra jó az /etc/rc.local script (ez alapbol üres és tetszőlegessen bővíthető).

Részletes leírás a chroot létrehozásához a wikiben található.

A következő részekben először az nginx, majd pedig az apache chroot -jának részleteiről lesz szó.