Nginxからトラッキング用のCookieを設定する - Qiita
やりたいこと アクセスログからユニークユーザを特定したい。 proxyを通してアクセスをさばいているので、複数ユーザ／クライアントのログが丸められてしまっている。 Cookieベースでユーザを特定できるといいな。 専用ツールの利用は無し（あとから考えよう）。 Apacheではなく、Nginxを使いたい。 かつ、Apacheのmod_usertrackのようなことをしたい。 ログからのトラッキング以外に、現在はPiwikというOSSのツールも使っています。こちらもとても面白いものなので、いつか簡単にご紹介します！ Nginxのモジュール対応表 Nginxのモジュール対応表を見てみます。 mod_usertrackに対応するのは、ngx_http_userid_module だそうです。 下記は、nginxの設定例。default.confなどに記載します。 user nginx; worke
AddType, AddHandler, SetHandlerの違い
Apache HTTP Server (v2.4) でのPHPの動作に必要な設定としてhttpd.confや.htaccessでのSetHandlerによる拡張子の割り当てがある。 しかし，ネット上では，AddTypeやSetHandler，AddHandlerなどを使った設定も見かける。これらの違いがよくわからなかったので，整理する。 結論からいうと，AddTypeとAddHandlerを複数拡張子のファイルにマッチする脆弱性があるため使う必要はなく，常にSetHandlerを使えばよい。 AddTypeは指定した拡張子を指定したコンテントタイプ (メディアタイプ，MIME) に割り当てる。同じ拡張子のマッピングの場合は上書きする。 AddType image/gif .gif一度に複数の拡張子をMIMEタイプに割り当てることもできる。 AddType image/jpeg jpeg j
CentOS 7 + Apache + php-fpm + mariaDB でdocker-compose環境を作る - Qiita
はじめに 業務で使用しているのがCentOSなので公式のphpイメージがあるかと探して見たんですが、 公式のイメージはDebianなのでdocker-composeでCentOSのLAMP環境を作成しました。 せっかくなのでネットでよくみるApacheのコンテナ内に直接PHPをインストールする形ではなく php-fpm用の別コンテナを立てて各コンテナを連携します。 完成品はこちら 手順はいいから現物はよっ！という方はこちらのリポジトリにあります。 temori1919/docker-lamp 構成 ディレクトリ構造 docker-lamp/ ├── web │ ├── logs │ ├── Dockerfile │ └── docker.conf #[/etc/httpd/conf.d]にコピーするconfファイル ├── php │ ├── xdebug.ini #[/usr/local
Let’s Encryptにイントラサイトの証明書を発行してもらう | 純規の暇人趣味ブログ
Let's Encrypt、便利ですよね。無料でvalidな証明書が手に入るという事がこんなに便利だとは。 で、せっかく無料で発行できるんだから外部からのアクセスを遮断しているイントラなサーバーもこれを使いたい。という訳でイントラサイトでLet's Encryptの証明書を発行する方法を考えてみた。 Let's Encryptをイントラで Let's Encryptは入力したドメインに対してHTTPで特定のファイル(.well-known/)にアクセスする事で所有権の確認を行っています。 すなわち、イントラサイトなどの外部からのHTTPアクセスを遮断しているサーバでは証明書を取得する事が出来ません。 それとは別にDNS認証というものがありますが、これはこれで証明書発行時に提示されるトークンをDNSに登録する必要があり、Route53のような自動でレコードの更新が出来るDNSサーバーを利用し
Apache向けfail2banの簡易構築手順 - Qiita
Apacheのアクセスログに国外からの大量の403と404のリクエストエラーが出力されていたため、過剰なアクセスへの対策を施す事にしました。 以下は対策の元ネタにさせて頂いた記事 EC2でnginxの過剰な404|403に対しfail2banをかける http://qiita.com/osamu1203/items/e7b1718caf4fa59dca4f 403と404を過剰に発生させているIPについては以下のルールを用いて一時的に受付けないようにします。 「30秒の間に10回403のリクエストエラーを発生させたら、1800秒BANする」 「30秒の間に10回404のリクエストエラーを発生させたら、1800秒BANする」 以下、fail2banの簡易構築手順です。 事前準備 [root@localhost ~]# cat /etc/sysconfig/iptables # iptable
Apacheでリバースプロキシ、タイムアウトを上手にコントロール - Qiita
リバースプロキシサーバ 17日目はリバースプロキシサーバについて書きます。 初期のリバースプロキシサーバの主な利用目的は社内イントラネット内に構築したWebサーバを社外からアクセスする事でした。 それがSSLアクセラレータ、ロードバランサ、キャッシュサーバ等の機能を少しずつ拡張し発展してきました。現在ではOpenAM、Keycloak、ADFSといった認証サーバとシングルサインオン連携し、アプリケーション側の認証実装の面倒なところを一気に引き受けるような用途でも使われるようになりました。 このあたりの話は@ITのサイトにうまくまとめられていました。こちらをご参考にしてください。 90秒の動画で学ぶITキーワード：リバースプロキシ（Reverse Proxy） 今回はリバースプロキシサーバを構築する際に考慮すべきタイムアウトの話を中心に書きました。 前提となる環境 CentOS 7.5 h
HTTP KeepAliveとリバースプロキシにまつわる話 | TECHSCORE BLOG | TECHSCORE BLOG
WEBアプリケーションサーバを構築する際、ELBやApacheやnginxなど何らかのリバースプロキシを前段に置くケースは非常に多いと思います。 今回は、筆者が各種リバースプロキシで1回ずつ位ハマった気がする、KeepAliveタイムアウト問題について解説します。 まずはHTTPにおけるKeepAliveについて簡単に説明します。 HTTP1.1の持続的接続(Persistent Connections)の根幹をなす機能で、1つのTCPコネクションで複数のリクエスト、レスポンスをやり取りする仕組みです。 このような機能が求められた背景には、TCP接続時の3Wayハンドシェイクのような負荷の高い処理を減らしたい、という目的があります。 単純化したシーケンス図で表すと、以下のようなフローになります。 KeepAliveタイムアウト サーバー側は次のリクエストを待つ際、いつ送られるかわからないリ
hanhan's blog - PHP BLT ＃2に行ってきた
再度の考察Apache+mod_phpは、単純にリクエスト数が多くなった時の性能劣化が一番早かったです。 前回の考察でも述べた通りで、Apacheの各リクエストがmod_phpを読み込んで動いているため、単純にリソースの消費が激しいです。 実際のVM内ではApacheが落ちてしまっていました。 それ以外の構成は、だいたい同じオーダーの性能でしたがNginxに静的ファイルを処理させる構成はやはり良いですね。 Availabiltyが100%なのは、Apache(mpm_event)だけですが、これは処理性能がNginxに比べて少し遅かったためファイルディスクリプタがギリギリ枯渇しなかったためです。 逆にいうと、Nginxは数を大量にさばけるので、きちんとOS側の設定もしないと勿体無いですね。
AWSのApache2.4の初期設定とセキュリティ設定 - Qiita
最初にする設定 httpd.conf, welcome.conf 設定が無い物は追記して、既存にあるものは変更する。又はコメントアウトして無効化する。 ServerAdminにemailを設定する。 ServerNameを設定する。 クロスサイトトレーシング対策（Basic認証のパスが漏れないようにする。） トップページにディレクトリ一覧が表示する事を防ぐ CGI を使ってない場合は、/cgi-bin/のエイリアス設定を無効にする。設定をコメントアウトする SSI（サーバサイドインクルード）の使用を無効にする（デフォルトで無効なので特に記述追加は無し） # 変更 サーバー管理者への問い合わせ先メールアドレスに変更する ServerAdmin webmaster@example.jp # 変更 ドメインと合わせる。 ServerName hogehoge@example.com:80 # 追
Apacheセキュリティ設定 - Qiita
概要 Apache の設定について共通化できるセキュリティ設定とその各項目についてまとめた。 設定例 必須設定 cat << _EOF_ > /etc/httpd/conf.d/security.conf # バージョン情報の隠蔽 ServerTokens Prod Header unset "X-Powered-By" # httpoxy 対策 RequestHeader unset Proxy # クリックジャッキング対策 Header append X-Frame-Options SAMEORIGIN # XSS対策 Header set X-XSS-Protection "1; mode=block" Header set X-Content-Type-Options nosniff # XST対策 TraceEnable Off <Directory /var/www/html>
Apache VirtualHostとSNIの設定
2016年12月24日（土） VirtualHostとSNIの概要 現在、Webのアクセスには「HTTP 1.1」というプロトコルが一般的に利用されています。 元となる「HTTP 1.0」が1996年5月に発表され、その僅か8ヵ月後に「HTTP 1.1」にバージョンアップされたプロトコルです。 いろいろな違いがある1.0と1.1ですが「バーチャルホスト」が使えるようになったのは1.1からです。 HTTP 1.0では、URLが「http://wiz-code.private/index.html」の場合、Webサーバー（wiz-code.private）に対して次のような要求が送信されます。 GET /index.html HTTP/1.0 上記のように、WebサーバーにはURLのパス部分のみしか要求されず、「wiz-code.private」というホスト名は含まれません。 ホスト名からIP
Apache + OpenSSL CSR生成手順 (新規)
必ずお読みください 本文書の内容によって生じた結果の影響について、弊社では一切の責任を負いかねますこと予めご了承ください。 本文書は基本的な構成を想定しています。お客様のシステム環境や構成、設定状況などにより、手順や画面表示が変わることがあります。アプリケーション及びツールごとの仕様及び設定手順等のご不明な点は、製品のマニュアルをお読みいただくか、開発元にご確認ください。 事前にご確認ください フリーウェアApacheをご利用のお客様は、作業をはじめる前に必ず以下をお読みください。 SO25448 - フリーウェア Apache をご利用のお客様へ 作業をはじめる前に、ウェブサーバに OpenSSL がインストールされていることを確認してください。 以下の手順では、OpenSSLが /usr/local/ssl/bin にインストールされている状態を想定しています。 お客様の環境により、パ
apacheユーザでcronを実行する方法 - とりあえずphpとか
まずやりたかったことはユーザがアップロードした画像をcronで1日1回加工する。 しかしアップロード画像の所有者はapacheで、権限は「644(rw-r--r--)」であったため作業用アカウントではファイルへの上書きができない状況である そこでまず考えたのは 上書きできるようにファイルの権限を変えてしまおうと考えた。 が、その場合はアップロードプログラムの変更が必要だし、権限甘くして解決するというのもどうも、、、 次に考えたのは 画像加工処理をwebから見える箇所に設置して1日1回そのスクリプトをたたくcronを設定しようかと考えた。 が、これもなんか無駄だし、厳密にはアクセス制限とかもしなくてはならないし、、、 で、apacheユーザでcron設定すればいいだけだったんですね、、、 % su - apache This account is currently not availabl
Apacheをpreforkからeventに切り替える | 純規の暇人趣味ブログ
今回はこのブログが乗ってるWeb鯖(Apache)のmpmをpreforkからeventに切り替えました eventだとPHPが動かないとか言われますが、そこをFastCGIで動かすようにもしてみます。 いざ、event!! ちなみにですが、Ubuntu ServerにLAMPでインストールしたApacheです。 CentOSだともう少し面倒かもしれない。 まずはCGIを実行出来る様に さて、PHPをCGIで動かすのですよ、当然ながらCGIが実行できる必要があります。 「/etc/apache2/sites-available/*.conf」に「Options ExecCGI」を設定して下さい。 以下の設定例を参考にして下さい。 <VirtualHost *:80> ServerName yourdomain.example.com ServerAdmin admin@example.co
「ELBからの通信で408が多発する」件で、結局どうすべきか調べたのでまとめた - 双六工場日誌
少し前にQiitaにこんなエントリが載っていました。問題としては、ELB配下に配置したApacheサーバで、レスポンスコード408で中身のないログが数秒おきに出続けるというものです。 AWS - ELBからの通信で408が多発する - Qiita この現象は、自分のところでも出ていて、このエントリにあるように公式フォーラムを見ても解決せず、原因がわからず困っていました。このエントリを見て、自分でも検証してみましたが、事象の分析としては、このQiitaのエントリにある内容の通りみたいです。 TCPコネクションを張ったあと、HTTPデータが来ないため、mod_reqtimeoutがDoSと判定して、apacheがコネクションを終了させている。 この件をググって見つけたのですが、qpstudyのリーダーこと、@iaraさんも2年前にこれを取り上げていますね。 Cloudpack night03
Apache で同一IPからの接続数を制限する mod_limitipconn 設定方法
Apache で同一IPからの同時接続数を制限するためのモジュールで有名なのが mod_limitipconn です。決められた値以上の同時接続に対しては 503 のステータスコードを返します。 CentOS であれば EPEL から RPM を導入できます。EPEL の利用設定がしてあれば yum でインストールできます。 # yum install -y mod_limitipconn 設定ファイルは /etc/httpd/conf.d/limitipconn.conf です。これを修正します。 MaxConnPerIP 10 <Location /somewhere> MaxConnPerIP 3 NoIPLimit image/* </Location> <FilesMatch "\.(zip|mp?g|iso)$"> MaxConnPerIP 1 </FilesMatch> この
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Apache HTTP Server」に2件の脆弱性 ～v2.4.52へのアップデートを／最大深刻度は「High」
cookbook/setup-apache-http-proxy-with-minio.md at master · minio/cookbook · GitHub
Apache + OpenSSL サーバIDインストール手順 (新規)
Apache + OpenSSL サーバIDインストール手順 (新規)