1

Имеется сервер Apache, необходимо в целях безопасности запретить отдельным virtualhost-ам создавать исходящие соединения (доступ в Интернет). Т.е. из вне запросы обрабатываться должны, а все создаваемые скриптами (php,cgi, etc...) исходящие соединения должны блокироваться.

Как это сделать стандартными средствами Apache? Если стандартными невозможно, то существует ли возможность путём написания своего плагина?

1
  • Похоже проблема решается использованием mpm_itk_module + iptables. serverfault.com/questions/425739/… habr.com/post/82933 Путём создания пользователей для заданных хостов и настройки правил iptables.
    – dsnk
    24 дек 2018 в 12:32

1 ответ 1

1

На хосте с Apache, установить модуль mpm_itk_module.

# yum install httpd-itk

По необходимости, создать пользователей и группы для хостов

В конфигурации виртуальных хостов добавить следующие строки, привязывающие их к нужным пользователям и группам:

<IfModule mpm_itk_module>
    AssignUserId user group
</IfModule>

Модуль можно и не устанавливать, если политика блокировки будет одинаковой для всех виртуальных хостов.

В конфигурации iptables, любым способом (скрипт или посредством iptables-services) добавить следующие правила:

iptables -A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m owner --gid-owner group -j REJECT --reject-with icmp-host-prohibited

в место, или вместе с критерием --gid-owner, по Вашему выбору можно использовать опцию --uid-owner, либо другие критерии, см. документацию.

Итого: входящие уже установленные соединения - будут обрабатываться нормально, а соединения созданные по инициативе скриптов виртуального хоста - будут блокироваться.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.