[devel] Daedalus: New packages

[devel] Daedalus: New packages

[Daedalus]

Приветствую!
В Daedalus выложены обновлённые пакеты:
apache

----------------------------------------------------------
apache
----------------------------------------------------------
Description :
Apache - мощный, функциональный, высокопроизводительный и
свободно распространяемый веб-сервер.

Russian Apache - специально доработанная версия сервера с поддержкой различных
кодировок, предназначенная для использования на сайтах с контентом на
русском, украинском, чешском и других языках.

Данная версия также включает некоторые оптимизации,
Extended Application Programming Interface (EAPI) с поддержкой разделяемой
памяти, поддержку модуля SSL и несколько косметических улучшений.

Changelog:
----------------------------------------------------------
* Сбт Янв 29 2005 Michael Shigorin <mike@altlinux.ru> 1.3.33rusPL30.20-alt3
- macros extended (see README.ALT); also #1735, #5634, #5989
- re-fixed #4235 (weird hostname hack)
- implemented separate TMPDIR (addon modules should follow) (#5989)
- disabled mod_charset for mod_perl (hm... #2941-related)
- commented out "AddDefaultCharset iso8859-1" by default (#5754)
- added %apache_vhostdir and %apache_vhconfdir (#5634)
- upped HARD_SERVER_LIMIT from 256 to 1024 (#5748; needs additional
  /etc/security/limits.conf tweaking to actually happen)
- changed %suexec_docroot from /home to /var/www (#2461)
- changed suexec binary permissions (see #5309)
  from 4711 root:root
    to 4710 root:apache
- changed TMPDIR in initscripts to use more specific location than /tmp
  so that you can restrict apache access to that by ACL and further
  configure php and other software running as apache (#5989)
- added patch to consult POSIX ACLs on CGI execution decision
  (#4987; disabled by default, build --with acl_support to enable)

Пакет для самостоятельной сборки доступен по адресу:
ftp://ftp.altlinux.ru/pub/distributions/ALTLinux/Daedalus/SRPMS.daedalus/apache-1.3.33rusPL30.20-alt3.src.rpm

Пакеты для установки доступны по адресу:
ftp://ftp.altlinux.ru/pub/distributions/ALTLinux/Daedalus/i586/RPMS.daedalus/apache-1.3.33rusPL30.20-alt3.i586.rpm
ftp://ftp.altlinux.ru/pub/distributions/ALTLinux/Daedalus/i586/RPMS.daedalus/apache-common-1.3.33rusPL30.20-alt3.i586.rpm
ftp://ftp.altlinux.ru/pub/distributions/ALTLinux/Daedalus/i586/RPMS.daedalus/apache-devel-1.3.33rusPL30.20-alt3.i586.rpm
ftp://ftp.altlinux.ru/pub/distributions/ALTLinux/Daedalus/i586/RPMS.daedalus/apache-manual-1.3.33rusPL30.20-alt3.i586.rpm
ftp://ftp.altlinux.ru/pub/distributions/ALTLinux/Daedalus/i586/RPMS.daedalus/apache-mod_perl-1.3.33rusPL30.20-alt3.i586.rpm
ftp://ftp.altlinux.ru/pub/distributions/ALTLinux/Daedalus/i586/RPMS.daedalus/apache-suexec-1.3.33rusPL30.20-alt3.i586.rpm
ftp://ftp.altlinux.ru/pub/distributions/ALTLinux/Daedalus/i586/RPMS.daedalus/mod_perl-doc-1.29_1.3.33rusPL30.20-alt3.i586.rpm

[devel] Re: Daedalus: New packages (apache)

[Michael Shigorin]

On Sat, Jan 29, 2005 at 10:42:31PM +0200, Daedalus wrote:
> В Daedalus выложены обновлённые пакеты: apache

Внимание, за ночь грабли всё же вылезли -- с pere.org.ua (гм,
вечером ровно на нём и alt.linux.kiev.ua проверял -- всё работало).

Есть подозрение, что это одно из:

> * Сбт Янв 29 2005 Michael Shigorin <mike@altlinux.ru> 1.3.33rusPL30.20-alt3
> - implemented separate TMPDIR (addon modules should follow) (#5989)
> - changed %suexec_docroot from /home to /var/www (#2461)
> - changed suexec binary permissions (see #5309)
>   from 4711 root:root
>     to 4710 root:apache

(cgi in question живут в /home)

> - changed TMPDIR in initscripts to use more specific location than /tmp
>   so that you can restrict apache access to that by ACL and further
>   configure php and other software running as apache (#5989)

Бум проверять.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Daedalus: New packages

[Denis Smirnov]

On Sat, Jan 29, 2005 at 10:42:31PM +0200, Daedalus wrote:

D> - changed %suexec_docroot from /home to /var/www (#2461)

Свершилось чудо. Теперь мне не придётся каждый раз пересобирать apache под
себя.

-- 
С уважением, Денис

http://freesource.info

Re: [devel] Daedalus: New packages

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 404 bytes --]

On Sun, Jan 30, 2005 at 05:49:10PM +0300, Denis Smirnov wrote:
> D> - changed %suexec_docroot from /home to /var/www (#2461)
> Свершилось чудо. Теперь мне не придётся каждый раз пересобирать
> apache под себя.

Не факт -- посмотрим на фидбэк.  Но если и не так -- то буду
собирать два suexec...

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Daedalus: New packages

[Konstantin Klimchev]

On Sun, 30 Jan 2005 17:49:10 +0300
Denis Smirnov <mithraen@freesource.info> wrote:

> Свершилось чудо. Теперь мне не придётся каждый раз
> пересобирать apache под себя.
Да не свершилось. Бери выше - снизошло :)

-- 
Best Regards, Konstantin Klimchev 
(mailto:koka@atvc.ru    jabber:koka@jabber.atvc.ru)
ATK-Internet ISP, Arkhangelsk, Russia

[devel] [JT] Re: Daedalus: New packages

[Michael Shigorin]

On Tue, Feb 01, 2005 at 09:37:21AM +0300, Konstantin Klimchev wrote:
> > Свершилось чудо. Теперь мне не придётся каждый раз
> > пересобирать apache под себя.
> Да не свершилось. Бери выше - снизошло :)

Вообще-то снизойти (икарнуться) может у вас -- у меня уже и до
повторного разбирательства откатил на версию из updates. :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Daedalus: New packages

[Andrey Orlov]

On Sunday 30 January 2005 18:50, Michael Shigorin wrote:
> On Sun, Jan 30, 2005 at 05:49:10PM +0300, Denis Smirnov wrote:
> > D> - changed %suexec_docroot from /home to /var/www (#2461)
> > Свершилось чудо. Теперь мне не придётся каждый раз пересобирать
> > apache под себя.
> 
> Не факт -- посмотрим на фидбэк.  Но если и не так -- то буду
> собирать два suexec...

"Маздай, маздай!" - кричали пъяные хостеры ...

> 

-- 
WthBstRgrds -- Андрей Орлов --  
 --- http: www.neural.ru, mail: cray@neural.ru, jid: cray@altlinux.org ---
----------------------------------------

[devel] apache README.ALT additions wanted

[Michael Shigorin]

On Wed, Feb 02, 2005 at 02:10:43AM +0300, Andrey Orlov wrote:
> > > D> - changed %suexec_docroot from /home to /var/www (#2461)
> > > Свершилось чудо. Теперь мне не придётся каждый раз пересобирать
> > > apache под себя.
> > Не факт -- посмотрим на фидбэк.  Но если и не так -- то буду
> > собирать два suexec...
> "Маздай, маздай!" - кричали пъяные хостеры ...

Маздай.  Тем не менее то ли ты не так понял suexec, то ли он
тебя, то ли я вас обоих -- но cgi, лежащий в $HOME (в сайте,
который симлинком из /var/www), благополучно взорвался.

Я-то его перенесу на историческую родину и перелинкую навыворот,
но это надо будет ясно зафиксировать в ридми.

2 devel: кстати, всячески приветствуется вспоминание
неочевидностей нашей сборки apache и присылание кусочков для
README.ALT -- я прошёлся по bugzilla и отдельному ящику, куда
складывал соответствующую тематике корреспонденцию, но точно
что-то да осталось за кадром.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] apache README.ALT additions wanted

[Andrei Bulava]

Michael Shigorin пишет:

<skip/>

> Тем не менее то ли ты не так понял suexec, то ли он
> тебя, то ли я вас обоих -- но cgi, лежащий в $HOME (в сайте,
> который симлинком из /var/www), благополучно взорвался.

А что, разве при вкомпилированном в suexec пути /var/www должно быть 
иначе? realpath(3) cgi, лежащего в /home/*, не изменится от того, что 
сайт выглядит как находящийся в /var/www благодаря симлинку, 
указывающему в /home/*.

Когда я об этом спрашивал, мне здесь или в sisyphus@ посоветовали 
использовать mount --bind, хотя это решение имеет свои последствия - 
вывод df у простых пользователей будет ругаться "df: 
`<недоступная_директория>': Permission denied" на все смонтированные 
через mount --bind директории, прав на которые нет у вызывающего df 
пользователя (а на коммерческом хостинге таких директорий будет не одна 
штука...)

> 
> Я-то его перенесу на историческую родину и перелинкую навыворот,
> но это надо будет ясно зафиксировать в ридми.

Поучаствуйте в обсуждении такого варианта:

1) виртхосты живут в /var/www/vhosts (vhosts - не краеугольный камень, 
меня устроит любой вариант, ясно отделяющий _все_ виртхосты от 
/var/www/{cgi-bin,html,icons,...})

2) структура виртхоста - директория с именем, повторяющим ServerName 
виртхоста (опять не краеугольный камень, "я так делаю"), содержит: 
cgi-bin, html (это есть DocumentRoot виртхоста). Для удобства 
пользователей, не желающих вылазить за пределы $HOME, и админов, не 
дающих им такой возможности, симлинки (а скорее mount --bind, см. далее) 
делаются в $HOME и указывают в /var/www/vhosts/<ServerName>

Плюсы:

1) в suexec вкомпилирован /var/www, realpath cgi-скриптов ему соответствует.

2) одному пользователю легко может принадлежать несколько виртхостов, 
для этого хорош подход по созданию в $HOME симлинков вида 
$HOME/<vhostname> -> /var/www/vhosts/<vhostname>

Минусы:

1) chroot'изированный в $HOME ftp- или scp/sftp-доступ невозможен без 
использования mount --bind. Если огромное количество "Permission denied" 
в выводе df у простых пользователей не смущает (хотя о каком запуске df 
может идти речь при ftp- или scponly-доступе?), жизнь вполне прекрасна. 
Ну, а если у пользователя не chroot'изированный scp/sftp-доступ, то 
костыль с mount --bind ему и вовсе не понадобится. В конце концов, зачем 
придумали cifs? И симлинками можно обойтись, и "запирание" пользователя 
в $HOME поддерживается легким движением руки. IMHO, риск от 
использования cifs вряд ли больше, чем от использования ftp.

2) ... (?)

<skip/>

-- 
// AB1002-UANIC

[devel] Re: apache README.ALT additions wanted

[Michael Shigorin]

On Wed, Feb 02, 2005 at 10:01:23AM +0200, Andrei Bulava wrote:
> >Тем не менее то ли ты не так понял suexec, то ли он
> >тебя, то ли я вас обоих -- но cgi, лежащий в $HOME (в сайте,
> >который симлинком из /var/www), благополучно взорвался.
> А что, разве при вкомпилированном в suexec пути /var/www должно
> быть иначе? realpath(3) cgi, лежащего в /home/*, не изменится
> от того, что сайт выглядит как находящийся в /var/www благодаря
> симлинку, указывающему в /home/*.

Да это кристально ясно, когда _вспомнишь_ (ну или посмотришь),
что где лежит-то. :)

> >Я-то его перенесу на историческую родину и перелинкую навыворот,
> >но это надо будет ясно зафиксировать в ридми.
> Поучаствуйте в обсуждении такого варианта:
> 1) виртхосты живут в /var/www/vhosts (vhosts - не краеугольный
> камень, меня устроит любой вариант, ясно отделяющий _все_
> виртхосты от /var/www/{cgi-bin,html,icons,...})

Это уже сделано в той сборке, что в Daedalus.  Равно как и
/etc/httpd/conf/vhosts.d/

> 2) структура виртхоста - директория с именем, повторяющим
> ServerName виртхоста (опять не краеугольный камень, "я так
> делаю"), содержит: cgi-bin, html (это есть DocumentRoot
> виртхоста). Для удобства пользователей, не желающих вылазить за
> пределы $HOME, и админов, не дающих им такой возможности,
> симлинки (а скорее mount --bind, см. далее) делаются в $HOME и
> указывают в /var/www/vhosts/<ServerName>

Это хорошо бы оскриптовать ("добавлялка" для начала), но по
крайней мере уже есть куда.

> Плюсы:
> 1) в suexec вкомпилирован /var/www, realpath cgi-скриптов ему
> соответствует.
> 
> 2) одному пользователю легко может принадлежать несколько
> виртхостов, для этого хорош подход по созданию в $HOME
> симлинков вида $HOME/<vhostname> -> /var/www/vhosts/<vhostname>

Угу.

> Минусы:
> 1) chroot'изированный в $HOME ftp- или scp/sftp-доступ
> невозможен без использования mount --bind. Если огромное
> количество "Permission denied" в выводе df у простых
> пользователей не смущает (хотя о каком запуске df может идти
> речь при ftp- или scponly-доступе?), жизнь вполне прекрасна.

А если есть достойные шелла -- им раздаётся (заводилкой же) 
alias df='df 2>/dev/null'. :)


> Ну, а если у пользователя не chroot'изированный
> scp/sftp-доступ, то костыль с mount --bind ему и вовсе не
> понадобится.

Или так.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] apache README.ALT additions wanted

[Andrey Orlov]

On Wednesday 02 February 2005 09:49, Michael Shigorin wrote:
> Маздай.  Тем не менее то ли ты не так понял suexec, то ли он
> тебя, то ли я вас обоих -- но cgi, лежащий в $HOME (в сайте,
> который симлинком из /var/www), благополучно взорвался.

Не, я все понял правильно. Просто по рекомендациям из доки в /home cgi 
оказывается только в "~" <USER> "/public_html". В этом случае оно бы у тебя не взорвалось,
т.к. docroot был бы переставлен вот сюда: "~" <USER>. Разумеется, о таком
workaround как положить скрипт в $HOME я не подумал, т.к. сам никогда бы так не сделал - я бы пересобрал,
как и Денис. 

Короче, надо посчитать грабли. Кто еще положил скрипты в $HOME, а не в "~" ?

-- 
WthBstRgrds -- Андрей Орлов --  
 --- http: www.neural.ru, mail: cray@neural.ru, jid: cray@altlinux.org ---
----------------------------------------

Re: [devel] apache README.ALT additions wanted

[Andrey Orlov]

On Wednesday 02 February 2005 11:01, Andrei Bulava wrote:
> А что, разве при вкомпилированном в suexec пути /var/www должно быть 
> иначе? realpath(3) cgi, лежащего в /home/*, не изменится от того, что 
> сайт выглядит как находящийся в /var/www благодаря симлинку, 
> указывающему в /home/*.

Должно и есть иначе, если  cgi лежит в ~/public_html и обращаются
к нему как к http:/..../~user

> Поучаствуйте в обсуждении такого варианта:
> 
> 1) в suexec вкомпилирован /var/www, realpath cgi-скриптов ему соответствует.
> 
> 2) одному пользователю легко может принадлежать несколько виртхостов, 
> для этого хорош подход по созданию в $HOME симлинков вида 
> $HOME/<vhostname> -> /var/www/vhosts/<vhostname>
> 
> Минусы:
> 
> 1) chroot'изированный в $HOME ftp- или scp/sftp-доступ невозможен без 
> использования mount --bind. Если огромное количество "Permission denied" 
> в выводе df у простых пользователей не смущает (хотя о каком запуске df 

Моожно сделать наоборот: /var/www/users/ <USERNAME> / 
где лежат виртхосты пользователя,
/var/www/vhosts/ где лежат симлинки. Тогда чрутизированный ftp / sftp доступ возможен.
Так как они оба ниже /var/www (docroot) - то suexec это примет

-- 
WthBstRgrds -- Андрей Орлов --  
 --- http: www.neural.ru, mail: cray@neural.ru, jid: cray@altlinux.org ---
----------------------------------------

[devel] Re: apache README.ALT additions wanted

[Michael Shigorin]

On Wed, Feb 02, 2005 at 12:34:05PM +0300, Andrey Orlov wrote:
> Моожно сделать наоборот: /var/www/users/ <USERNAME> / где лежат
> виртхосты пользователя, /var/www/vhosts/ где лежат симлинки.
> Тогда чрутизированный ftp / sftp доступ возможен.  Так как они
> оба ниже /var/www (docroot) - то suexec это примет

Кстати, вариант.  Каталог-то добавить не вопрос, вот кто бы
спортировал скрипты, которые летом упоминал yurix@ касательно
apache2?  Я на этой неделе не боец :-(

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Daedalus: New packages

[Denis Smirnov]

Andrey Orlov wrote:

>>>D> - changed %suexec_docroot from /home to /var/www (#2461)
>>>Свершилось чудо. Теперь мне не придётся каждый раз пересобирать
>>>apache под себя.
>>>      
>>>
>>Не факт -- посмотрим на фидбэк.  Но если и не так -- то буду
>>собирать два suexec...
>>    
>>
>
>"Маздай, маздай!" - кричали пъяные хостеры ...
>  
>
Дык наоборот рулез. Все будут ставить каждый свой пакет, и не будут 
париться при обновлениях.