Category: Web 服务器

分类
HTTP/2 相关 Linux 相关 Web 服务器

升级PHP 7.1并启用PHP-FPM

一个多月前把系统升级到了Debian Buster，同时Apache也升级到了2.4.27，然后就发现HTTP/2没法用了，因为那时忙别的事情，也就没去管它。
今天闲着无事，就翻了翻文档，才发现在Apache 2.4.27中，Apache MPM (Multi-Processing Module) prefork取消了对HTTP/2的支持。因此，准备随即切换到Apache MPM event。
但随之而来的一个新问题就是，Apache服务器下，PHP所使用的mod_php模块只能支持prefork，因此，同时要将PHP切换到php-fpm以在FastCGI模式下运行PHP。然后想想，不如同时把PHP升级到7.1版本算了。
首先要做的，就是卸载PHP 7.0，虽然直接安装也行，但我还是选择了卸载，反正留着也没用。如果有安装phpMyAdmin，因为依赖被卸载，所以也会连带被卸载，这里直接选择卸载重装。

apt-get purge phpmyadmin php7.0-gd php7.0-xml php7.0 php-pear php7.0-mysql php7.0-common
apt-get autoremove

然后重新安装PHP 7.1，可以一步安装完所有包，也可以分开安装。这里为了写得清楚一点，分开写。但需要注意的是，如果一步安装PHP 7.1基本包的同时安装php7.1-fpm，默认就不会安装包含了mod_php模块的libapache2-mod-php7.1，如果你要用mod_php，要么分开两步装，要么别装php7.1-fpm。
首先安装LAMP需求的包。

apt-get install php7.1 php-pear php7.1-mysql

然后是WordPress需求的包。

apt-get install php7.1-gd php7.1-xml

然后是php-fpm。

apt-get install php7.1-fpm

最后装回phpMyAdmin，需要注意的是，phpMyAdmin默认安装的需求包是php7.0-mbstring，在PHP 7.1下会提示缺少mbstring，这个问题困扰了好久！最后发现，直接选择安装php7.1-mbstring就解决了！

apt-get install phpmyadmin php7.1-mbstring

安装完成之后重新配置以下phpMyAdmin就行。可以参考这里：写给像我这样的新手的phpMyAdmin教程 (Apache)
之后就是启用PHP-FPM了。
首先关闭Apache服务器。

service apache2 stop

再执行以下命令。

a2enmod proxy_fcgi setenvif
a2enconf php7.1-fpm
a2dismod php7.1
a2dismod mpm_prefork
a2enmod mpm_event

最后重新启动Apache，这样就大功告成了，很简单。然后测试一下，我遇到了些问题，最后发现是自己写的.htaccess里面有一些PHP语句需要更新，这方面注意一下。

分类
Web 服务器 浏览器

让浏览器下载而不是打开某些文件的简单方法 (Apache)

很多时候，我们希望能让浏览器下载某些Web服务器上的文件，而不是直接打开它们。常见的比如txt、jpg等文件，大多数浏览器通常会默认选择打开而不是下载。这就需要我们在服务器上作一些简单的配置。实现的方法有很多种，这里我写一下现在比较常用的一种简单方法，通过.htaccess文件来配置，适用于Apache。
首先要让.htaccess文件生效，具体就不再写了，不了解的参考这里：Apache开启重定向HTTP至HTTPS。
然后在网站放置下载资源的目录创建.htaccess文件，并写入下列内容，这里以.txt和.jpg为例。

AddType application/octet-stream .txt
AddType application/octet-stream .jpg

设置完之后，只要是在该文件夹下的.txt和.jpg文件，浏览器默认会下载该文件而不是直接打开。

分类
HTTP/2 相关 Web 服务器

Apache启用HTTP/2

这几天启用了HTTP/2，其实方法很简单，我懒得编译，就直接把系统升级到了Debian Stretch，然后只要输几条命令就开启了HTTP/2。注意，在Apache下启用HTTP/2需要Apache版本在2.4.17及以上，OpenSSL版本1.0.2及以上。
首先启用mod_http2。

a2enmod http2

然后修改站点的配置文件，这里以默认的default-ssl.conf为例。

vi /etc/apache2/sites-available/default-ssl.conf

在最后添加以下字段。

# HTTP/2 in a VirtualHost context (TLS only)
Protocols h2 http/1.1

这是针对浏览器的仅启用TLS，如果你针对的是自己开发的程序，并且不启用TLS，可以写成。

# HTTP/2 in a Server context (TLS and cleartext)
Protocols h2 h2c http/1.1

很简单，这样就搞定了。

分类
SSL 相关 Web 服务器

本站已开始使用ECC证书

Let’s Encrypt开始签发ECC证书已经有一段时间了，而且很多网站都开始换用ECC证书了，本站也在最近换用了Let’s Encrypt的ECC证书。这里简单就写个介绍和教程。
ECC证书也就是内置了ECDSA公钥的证书，而传统的RSA证书内置的是RSA公钥。ECC证书公钥长度短，256 bits的ECC Key安全性等效于3072 bits的RSA Key，运算速度更快。因此，ECDHE密钥交换+ECDSA数字签名无疑是目前更好的选择。ECC证书并不支持老旧的Windows XP和Android 2.x，但考虑到本站的客户群根本不是这些用古老客户端的人群，所以就无视了。
比较遗憾的是，现在Let’s Encrypt的中间证书依然是RSA证书，所以从整个证书链来讲也没有缩短多少，期待明年Let’s Encrypt开始采用ECC中间证书。ECDSA Intermediates (ETA: Before March 31, 2017)。
这里推荐使用acme.sh来获取ECC证书，使用起来非常简单，而且还支持DNS验证域名，更灵活。
先是安装。

wget -O -  https://get.acme.sh | sh

acme.sh支持多种验证方式，并且支持Apache配置，非常方便，详见GitHub页面。
如果你已经在服务器上运行了Apache，并且正确配置了DNS解析、hostname、fully-qualified domain name (FQDN)、ServerName和ServerAlias，那可以直接使用Apache模式，很简单的命令。

acme.sh --issue --apache -d aa.com -d www.aa.com -d user.aa.com --keylength ec-256

这样就获得了ECC证书，并且acme.sh支持自动续期，只要你不更改上面所说的配置，每隔80天会自动续期。ec-256是ECC Key长度，可选ec-384，但其实选用ec-256已经足够安全。
接下来，OpenSSL版本是1.0.2或更高，可以尝试部署ECC+RSA双证书以保证向后兼容性，你也许还需要获取一个RSA证书，只要输入以下命令就行。

acme.sh --issue --apache -d aa.com -d www.aa.com -d user.aa.com

接下来这里讲讲DNS验证，其实也很简单，先输入以下命令。

acme.sh --issue --dns -d aa.com -d www.aa.com -d user.aa.com --keylength  ec-256

然后会看到一串字符串。

Add the following txt record:
Domain:_acme-challenge.aa.com
Txt value:9ihDbjYfTExAYeDs4DBUeuTo18KBzwvTEjUnSwd32-c
Add the following txt record:
Domain:_acme-challenge.www.aa.com
Txt value:9ihDbjxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Please add those txt records to the domains. Waiting for the dns to take effect.

去你的DNS服务提供商处添加相应的TXT记录，等DNS记录生效后，再运行以下命令。

acme.sh --renew -d aa.com --ecc

这样就获得了ECC证书。
接下来，你也许还需要获取一个RSA证书，只要输入以下命令就行。

acme.sh --issue --dns -d aa.com -d www.aa.com -d user.aa.com

这时会看到域名已经验证的提示，直接获得对应的RSA证书。更改Apache或者其他要用证书的服务器端软件的配置，也许还要更改一下Cipher Suite等安全配置，参考这里，这样就大功告成了。

分类
HTTP 相关 SSL 相关 Web 服务器

HTTP Public Key Pinning (HPKP)简介和部署教程(Apache)

HTTP Public Key Pinning (HPKP)，中文一般译作“HTTP公钥固定”或者“HTTP公钥钉”，它是一种HTTPS网站防止攻击者使用CA错误签发的证书进行中间人攻击的安全机制，例如有时攻击者可以入侵CA然后偷偷签发证书，现在也有一些还在被浏览器信任的CA频频被曝出签发伪造证书。启用HPKP的网站，由HTTPS网站服务器提供一个公钥哈希列表并使客户端在后续的链接中只接受在列表上的一个或多个公钥。
服务器通过Public-Key-Pins HTTP头向浏览器指定公钥，退一步，也可以通过Public-Key-Pins-Report-Only HTTP头向浏览器报告非法公钥，而非直接拒绝访问。当然，最追求安全的做法就是强制固定公钥。
如今配置了HPKP的网站还不到1%，其原因在于，HPKP的部署是需要深思熟虑的，不恰当的配置会引来诸多麻烦，错误的配置会导致网站长期无法访问，这可以直接毁掉一家大型的公司。
关于HPKP更多的介绍建议直接搜索专业的文档，这里接下来就以Apache服务器端为例讲讲如何在一个网站上使用HPKP。
首先，最关键的一点，确定需要固定的公钥，HPKP一般可以固定三种公钥，一是网站当前的证书公钥，二是包含CA和中级证书的公钥，三是备份公钥，而备份公钥可以是已经签发的网站有效证书公钥，也可以是CA和中级证书的公钥，这里就要考虑哪种部署方案适合该网站。直接固定网站当前的证书公钥无疑是最安全的，但如果哪天更换该证书，而HPKP规则过期时间还没有到，这时候如果没有固定其他有效的公钥，会直接导致网站无法访问。如果固定的是CA和中级证书的公钥，万一这家CA被攻破或者恶意签发了网站证书，你的网站将面临中间人攻击风险，但好处就是，你只要不换CA，且CA的公钥还在继续签发证书，这个固定就是有效的，无论你换了多少该CA的证书。所以，绑定一个备用公钥是很有必要的。
本站目前的选择是，首先固定了Let’s Encrypt Authority X3的公钥，这是本站目前的CA所使用的公钥，是非常安全可靠的。然后固定了另一个大家所熟知但不太靠谱的免费CA为本站签发的有效证书公钥作为备份公钥，因为我不太信任那家CA，所以并没有选择直接固定那家CA的公钥。
选择好了要固定的公钥，接下来一个困难的选择就是HPKP规则过期时间，因为一旦固定的公钥不能用，而HPKP规则过期时间还没到，那网站就无法访问了。时间设置越久，越能有效保护访问的用户，但证书不能用的风险就越大，而时间设置越短，越容易在HPKP规则过期后用户第一次访问时遭遇中间人攻击。本站并不是特别重要的站点，也没有被中间人攻击的价值，所以目前仅仅设置了一周的时间，一些注重安全又走在技术前沿的著名站点往往会设置一个月以上的时间。
接下来，其实设置的过程非常简单。首先，为需要绑定的证书公钥生成SPKI指纹。

openssl x509 -noout -in certificate.pem -pubkey | \
openssl asn1parse -noout -inform pem -out public.key;
openssl dgst -sha256 -binary public.key | openssl enc -base64

输出结果。

YLh1dUR9y6Kja30RrAn7JKnbQG/uEtLMkBgFF2Fuihg=

其他要绑定哪些密钥也用同样的方法生成SPKI指纹，然后打开Apache的HTTPS站点配置文件，加入HPKP头。

Header always set Public-Key-Pins "pin-sha256=\"YLh1dUR9y6Kja30RrAn7JKnbQG/uEtLMkBgFF2Fuihg=\"; max-age=604800; includeSubDomains"

其中，pin-sha256可以设置多个，max-age为规则过期时间，includeSubDomains是指包含子域名。
然后重启Apache，规则就生效了，很简单，最关键的，还是选择合适的固定公钥以及合适的过期时间。

分类
Web 服务器

低配置机器Apache优化

手上另外有一台112MB RAM+24MB SWAP的VPS，装的Debian 8 x64，上面已经跑了两个服务，现在又要再挂个小网站上去，虽然只是静态内容，但Apache也不是省油的灯，默认配置下跑起来很吃力。于是稍微做了下优化，现在好多了。
那台Apache服务器版本是2.4.10，其他版本配置也类似。虽然是启用了SSL的HTTPS页面，但用的是MPM event，其实相当于MPM worker，优化之后的mpm_event.conf配置如下。

StartServers 1
MinSpareThreads 1
MaxSpareThreads 10
ThreadLimit 5
ThreadsPerChild 10
MaxRequestWorkers 50
MaxConnectionsPerChild 0

修改之后，跑起来内存占用好多了，机器性能足够支撑需求。目前稳定运行中，继续观察看看。

分类
HTTP 相关 SSL 相关 Web 服务器

Apache开启HSTS (HTTP Strict Transport Security)

重定向HTTP至HTTPS并不能解决劫持问题，而且现在很多运营商劫持行为很普遍、WIFI热点劫持也非常多，在HTTP跳转至HTTPS之前就会劫持用户，这些都存在着很大的安全风险。因此，HSTS (HTTP Strict Transport Security，即HTTP严格传输安全) 就显得很重要了。
设置很简单，这里以Apache默认的SSL站点为例。首先启用Mod_Headers模块。

a2enmod headers

然后打开HTTPS站点的配置文件。

vi /etc/apache2/sites-available/default-ssl.conf

在<VirtualHost *:443>中添加如下内容。

# HSTS (mod_headers is required) (15768000 seconds = 6 months)
Header always set Strict-Transport-Security "max-age=15768000; includeSubDomains; preload"

max-age为HSTS过期时间，一般建议不小于18周(10886400秒)，这里设置为6个月，includeSubDomains是指包含子域名，为了最大程度地保护该域名下地所有站点，建议加上，而如果某个子域名不强制使用HTTPS，就不要在根域名加。preload代表启用HSTS Preload (HSTS预加载)，只有被浏览器预加载的HSTS，才能够保证在任何情况下都不被劫持，否则在第一次访问该站点时还是有被劫持的可能。
最后再重启一下Apache使配置生效。

service apache2 restart

好了，HSTS已经可以使用了。再也不用担心用户访问自己的网站时被劫持了。当然，如果不启用HSTS Preload，第一次访问或者上面设置的半年时间失效后的第一次访问，还是有可能被劫持的。如果要启用HSTS Preload，在设置好上面的内容之后，还要去下面这个网址提交你的域名。方法很简单，照着提示做就好。
https://hstspreload.appspot.com/
需要注意的是，按照提交的要求，preload必须和includeSubDomains一起使用，并且保证max-age不小于18周，当然，使用有效并且可信的SSL证书，设置HTTP重定向到HTTPS这类常规要求肯定是要的。
有人觉得HSTS配置也可以写在.htaccess中，但其实Apache和HSTS规范中都是不建议这样做的，因为这会导致访问HTTP站点时也会收到HSTS Header。当然，这其实不是个问题，因为HSTS本身就是为强制使用HTTPS访问设计的，但规范中是不建议的。

分类
SSL 相关 Web 服务器

Apache开启重定向HTTP至HTTPS

网站启用了SSL之后，需要使用HTTPS才能加密访问，默认还是可以通过明文的HTTP访问。但只要简单设置，就可以把HTTP请求重定向至HTTPS。
Apache开启重定向HTTP至HTTPS的方法有很多种，现在比较流行的是通过Mod_Rewrite实现。
首先启用Mod_Rewrite模块。

a2enmod rewrite

一种方法是修改HTTP虚拟站点配置文件。
打开HTTP虚拟站点配置文件，默认的话，Apache 2.4是/etc/apache2/sites-available/000-default.conf，而Apache 2.2是/etc/apache2/sites-available/default，在其中写入以下代码，把其他的内容都注释掉，就行了。

<VirtualHost *:80>
 RewriteEngine on
 RewriteCond %{HTTPS} !=on [NC]
 RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</VirtualHost>

另一种方法是修改.htaccess文件。
首先要启用Override使.htaccess文件配置生效。
如果是Apache 2.4，修改Apache的配置文件。

vi /etc/apache2/apache2.conf

找到以下内容，修改其中的AllowOverride为All。

<Directory /var/www/>
 Options Indexes FollowSymLinks
 AllowOverride All
 Require all granted
</Directory>

如果是Apache 2.2，修改Apache的网站配置文件，这里以默认的网站配置文件为例，先修改HTTP虚拟站点的配置文件。

vi /etc/apache2/sites-available/default

找到以下内容，修改其中的AllowOverride为All。

<Directory /var/www/>
 Options Indexes FollowSymLinks MultiViews
 AllowOverride All
 Order allow,deny
 allow from all
</Directory>

再修改HTTPS虚拟站点的配置文件。

vi /etc/apache2/sites-available/default-ssl

作同样修改。

<Directory /var/www/>
                Options Indexes FollowSymLinks MultiViews
                AllowOverride All
                Order allow,deny
                allow from all
</Directory>

之后就可以配置.htaccess文件了。
在网站根目录创建.htaccess文件，注意如果有子网站的话，子网站根目录也要创建。

vi /var/www/html/.htaccess

添加如下配置。

<IfModule mod_rewrite.c>
 RewriteEngine on
 RewriteCond %{HTTPS} !=on [NC]
 RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
</IfModule>

更改.htaccess的所有者和组为www-data。

chown www-data:www-data /var/www/html/.htaccess

最后再重启一下Apache。

service apache2 restart

好了，去浏览器直接输入域名看看是不是可以自动跳转到HTTPS了。
其实，如果你是为WordPress开启重定向HTTP到HTTPS的话，还可以借助一款叫做Really Simple SSL的插件，根据提示做就行，非常方便，不过原理基本上是一样的。
最后，再说一说这两种方法的区别，第一种修改HTTP虚拟站点配置文件的方法，是针对该虚拟站点生效，访问该虚拟站点的HTTP请求都会被重定向到HTTPS。第二种修改.htaccess文件的方法，是针对.htaccess文件所在文件夹生效，访问该文件夹的HTTP请求会被重定向到HTTPS。具体还是要看需求而定，我两种方法都试过，现在比较偏向于修改HTTP虚拟站点配置。

分类
SSL 相关 Web 服务器

Apache禁用SSLv3和RC4并启用Forward Secrecy

Apache默认是启用SSLv3和RC4的，但其实SSLv3和RC4都已经不够安全，应当禁用。而启用Forward Secrecy能够增强主流浏览器访问的前向安全性。方法很简单，首先修改网站的配置文件，下面以默认站点配置文件为例。
如果是Apache 2.4，编辑以下文件。

vi /etc/apache2/sites-available/default-ssl.conf

在文件最下方增加以下几行，第一行禁用SSLv3，同时也禁用了RC4等不安全的Cipher，第二行选择优先的Cipher，并为支持的浏览器启用Forward Secrecy，并保持向后兼容，第三行由服务器选择Cipher而不是客户端，第四行关闭SSL压缩，第五行关闭SSL Session Tickets。

SSLProtocol             all -SSLv3
SSLCipherSuite          ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS
SSLHonorCipherOrder     on
SSLCompression          off
SSLSessionTickets       off

如果是Apache 2.2，有些地方有些变化，编辑以下文件。

vi /etc/apache2/sites-available/default-ssl

在文件最下方增加以下几行，第一行禁用SSLv3和SSLv2，同时也禁用了RC4等不安全的Cipher，第二行选择优先的Cipher，并为支持的浏览器启用Forward Secrecy，并保持向后兼容，第三行由服务器选择Cipher而不是客户端。

SSLProtocol             all -SSLv2 -SSLv3
SSLCipherSuite          ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS
SSLHonorCipherOrder     on

重新启动Apache。

service apache2 restart

测试一下吧，应该这样就OK了。
这里选用的是一种较为常用的Cipher Suite，可以根据自己需要做进一步的优化。

分类
Web 服务器

写给像我这样的新手的phpMyAdmin教程 (Apache)

既然建站了，总要配置一个phpMyAdmin用来方便管理MySQL。于是，写一下这教程吧。
首先，安装phpMyAdmin。

apt-get install phpmyadmin

选择Apache2，然后选YES，然后输入MySQL的管理员密码，再创建一个phpMyAdmin的登录密码。
编辑Apache2的配置。

vi /etc/apache2/apache2.conf

在最下面加入这一行。

Include /etc/phpmyadmin/apache.conf

重启一下Apache。

service apache2 restart

这时其实已经可以用了。浏览器输入你的IP或域名/phpmyadmin就行。但是，我们还要改一下设置，让phpMyAdmin更安全。

vi /etc/phpmyadmin/apache.conf

找到以下这几行，加入最后那行。

<Directory /usr/share/phpmyadmin>
        Options FollowSymLinks
        DirectoryIndex index.php
        AllowOverride All

为phpMyAdmin创建一个.htaccess文件。

vi /usr/share/phpmyadmin/.htaccess

输入以下内容限制用户登录，其中.htpasswd的位置可以自己改，但注意，为了安全，不要放在能够从Web访问的文件夹下。

AuthType Basic
AuthName "Restricted Files"
AuthUserFile /etc/phpmyadmin/.htpasswd
Require valid-user

如果你觉得有必要，再输入以下内容强制通过HTTPS访问，当然，前提是你的服务器已经配置好了SSL证书和HTTPS，并且已经启用了Apache的mod_rewrite，具体怎么启用，我改天写一篇网站强制通过HTTPS访问吧，突然想起来居然这个都还没写。

RewriteEngine on
RewriteCond %{HTTPS} !=on [NC]
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

然后在/etc/phpmyadmin下面创建.htpasswd文件，当然，位置可以自己改，只要和.htaccess文件里面一致就行。然后创建一个phpMyAdmin用户，username自己改。

htpasswd -c /etc/phpmyadmin/.htpasswd username

输入登录密码。最后重启一下Apache。

service apache2 restart

大功告成了，这时候就可以用Web登录管理MySQL了，包括备份或更改Wordress的数据库，很方便。