[Comm] Apache help need

[Comm] Apache help need

[Gosha]

Hi All!

Подскажите плиз как правильно сделать авторизацию для
доступа к web-серверу. Прочитав Apache manual, я сделал так:

1. в каталоге /var/www/html создал файл .htaccess
следующего содержания:

AuthType Basic
AuthName "By Invitation Only"
AuthUserFile /var/www/html/.htpasswd
require user	gosha

2. сделал htpasswd -c /var/www/html/.htpasswd goshа и ввел пароль.
3. service httpd stop
4. update_chrooted
5. service httpd start

Однако не работает. Дает доступ кому угодно без пароля.
Что я неправильно сделал?

Система Мастер 2.2 + updates.

# rpm -q apache
apache-1.3.23rusPL30.11-alt8

-- 
Best regards!
Igor Solovyov
System/Network administrator
JSC CB "Zlatkombank", Zlatoust, Russia

[Comm] Re: Apache help need

[Konstantin Lepikhov]

Hi Gosha!

Monday 03, at 10:07:26 AM you wrote:

> Hi All!
> 
> Подскажите плиз как правильно сделать авторизацию для
> доступа к web-серверу. Прочитав Apache manual, я сделал так:
> 
> 1. в каталоге /var/www/html создал файл .htaccess
> следующего содержания:
> 
> AuthType Basic
> AuthName "By Invitation Only"
> AuthUserFile /var/www/html/.htpasswd
> require user	gosha
> 
> 2. сделал htpasswd -c /var/www/html/.htpasswd goshа и ввел пароль.
> 3. service httpd stop
> 4. update_chrooted
> 5. service httpd start
> 
> Однако не работает. Дает доступ кому угодно без пароля.
> Что я неправильно сделал?
> 
> Система Мастер 2.2 + updates.
> 
> # rpm -q apache
> apache-1.3.23rusPL30.11-alt8
> 
AllowOverride AuthConfig для этой Directory/Location/Vhost включен?

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Mon, 3 Nov 2003 10:08:39 +0300
Konstantin Lepikhov <lakostis@mmti.ru> wrote:

> > Однако не работает. Дает доступ кому угодно без пароля.
> > Что я неправильно сделал?
> > 
> > Система Мастер 2.2 + updates.
> > 
> > # rpm -q apache
> > apache-1.3.23rusPL30.11-alt8
> > 
> AllowOverride AuthConfig для этой Directory/Location/Vhost включен?

AllowOverride закомментирован. :-(

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Shawkat Nizamov]

>
>
>>
>>AuthType Basic
>>AuthName "By Invitation Only"
>>AuthUserFile /var/www/html/.htpasswd
>>require user	gosha
>>
=======================
require valid user
(или типа того)

>>2. сделал htpasswd -c /var/www/html/.htpasswd goshа и ввел пароль.
>>3. service httpd stop
>>4. update_chrooted
>>5. service httpd start
>>

тогда гоша сможет авторизоваться - поскольку в файле паролей он 
единственный.
Больше никто не сможет.

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Wed, 05 Nov 2003 11:44:03 +0500
Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:

> >>AuthType Basic
> >>AuthName "By Invitation Only"
> >>AuthUserFile /var/www/html/.htpasswd
> >>require user	gosha
> >>
> =======================
> require valid user
> (или типа того)

Не понял. Что значит "или типа того"? Конкретно написать можете?
Я попробовал просто "require valid user" и  "require valid user gosha", 
все бесполезно. Не работает это.
 
> >>2. сделал htpasswd -c /var/www/html/.htpasswd goshа и ввел пароль.
> >>3. service httpd stop
> >>4. update_chrooted
> >>5. service httpd start
> >>
> 
> тогда гоша сможет авторизоваться - поскольку в файле паролей он 
> единственный.
> Больше никто не сможет.


-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Shawkat Nizamov]

Igor Solovyov пишет:

>Не понял. Что значит "или типа того"? Конкретно написать можете?
>Я попробовал просто "require valid user" и  "require valid user gosha", 
>все бесполезно. Не работает это.
>  
>
Вот реальная выдержка из /var/www/admin/.htaccess

AuthType Basic
AuthName "Admin BILL SYS"
AuthUserFile /var/www/conf/admin.pass
require valid-user

Имена пользователей и их криптованные пароли находятся в 
/var/www/conf/admin.pass

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Thu, 06 Nov 2003 10:36:04 +0500
Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:

> Вот реальная выдержка из /var/www/admin/.htaccess
> 
> AuthType Basic
> AuthName "Admin BILL SYS"
> AuthUserFile /var/www/conf/admin.pass
> require valid-user

Сделал "require valid-user". Результат прежний. Доступ
дается всем желающим. Как еще бороться - не знаю.
Бред какой-то.
:-(

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Shawkat Nizamov]

>
>
>>Вот реальная выдержка из /var/www/admin/.htaccess
>>
>>AuthType Basic
>>AuthName "Admin BILL SYS"
>>AuthUserFile /var/www/conf/admin.pass
>>require valid-user
>>    
>>
>
>Сделал "require valid-user". Результат прежний. Доступ
>дается всем желающим. Как еще бороться - не знаю.
>Бред какой-то.
>:-(
>
Давайте логи от апача касательно авторизации. 

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Fri, 07 Nov 2003 10:34:00 +0500
Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:

> >>Вот реальная выдержка из /var/www/admin/.htaccess
> >>
> >>AuthType Basic
> >>AuthName "Admin BILL SYS"
> >>AuthUserFile /var/www/conf/admin.pass
> >>require valid-user
> >
> >Сделал "require valid-user". Результат прежний. Доступ
> >дается всем желающим. Как еще бороться - не знаю.
> >Бред какой-то.
> >:-(
> >
> Давайте логи от апача касательно авторизации. 

Это которые?

В логах (access_log и error_log) ничего криминального нет.
Вот что в access_log на момент обращения к серверу.:

[08/Nov/2003:11:22:23 +0500] "GET / HTTP/1.0" 200 3094
[08/Nov/2003:11:24:21 +0500] "GET /07Nov2003-08Nov2003/index.html HTTP/1.0" 200 4575
и т.д.

А в error_log вообще ничего не пишется на этот момент.

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Shawkat Nizamov]

>
>
>В логах (access_log и error_log) ничего криминального нет.
>Вот что в access_log на момент обращения к серверу.:
>
>[08/Nov/2003:11:22:23 +0500] "GET / HTTP/1.0" 200 3094
>[08/Nov/2003:11:24:21 +0500] "GET /07Nov2003-08Nov2003/index.html HTTP/1.0" 200 4575
>и т.д.
>
>  
>
>А в error_log вообще ничего не пишется на этот момент.
>  
>
Кажется я понял в чем тут дело. Дело наверно в конфигурации апача.
А именно в опциях Allow override.

Попробуйте Allow override AuthConfig.

Кстати, загоните ваши данные в директорию уровнем ниже, к корневой 
директории
апач относится очень бережно - на нее строгие ограничения.

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Sat, 08 Nov 2003 12:17:02 +0500
Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:

> Кажется я понял в чем тут дело. Дело наверно в конфигурации апача.
> А именно в опциях Allow override.
> 
> Попробуйте Allow override AuthConfig.

Ну так и есть! Помогло.
Кстати, мне об этом еще в самом начале -
Konstantin Lepikhov <lakostis@mmti.ru> wrote:

> AllowOverride AuthConfig для этой Directory/Location/Vhost включен?

А я неверно его понял. Думал наоборот, что этот параметр должен
быть выключен - неправильно понял комментарий на этот параметр.
:-(

> Кстати, загоните ваши данные в директорию уровнем ниже, к корневой 
> директории
> апач относится очень бережно - на нее строгие ограничения.

А мне нужно именно к корневому каталогу, т.е. ограничить доступ
к веб-серверу.

И вот сейчас получилось так - при обращении появляется сообщение:

Forbidden
You don't have permission to access / on this server.

И нет никакой попытки спросить имя и пароль? :-(
Как быть?

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Shawkat Nizamov]

>
>
>
>Forbidden
>You don't have permission to access / on this server.
>
>И нет никакой попытки спросить имя и пароль? :-(
>Как быть?
>
>  
>
allow override all

 >>>>> .htaccess

Order allow,deny
allow from 192.168.0.0/24
deny from all

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Mon, 10 Nov 2003 10:26:36 +0500
Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:

> >Forbidden
> >You don't have permission to access / on this server.
> >
> >И нет никакой попытки спросить имя и пароль? :-(
> >Как быть?
> >  
> >
> allow override all
> 
>  >>>>> .htaccess

Звиняюсь. Но не понял куда это (allow override all)вписать?
В .htaccess что-ли? Попробовал, не работает.

И это куда непонятно:

> Order allow,deny
> allow from 192.168.0.0/24
> deny from all

Простите за непонятливость. :-(

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Dmitry Lebkov]

On Mon, 10 Nov 2003 20:17:02 +0500
Igor Solovyov <gosha@zkb.ru> wrote:

> Hi!
> On Mon, 10 Nov 2003 10:26:36 +0500
> Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:
> 
> > >Forbidden
> > >You don't have permission to access / on this server.
> > >
> > >И нет никакой попытки спросить имя и пароль? :-(
> > >Как быть?
> > >  
> > >
> > allow override all
> > 
> >  >>>>> .htaccess
> 
> Звиняюсь. Но не понял куда это (allow override all)вписать?
> В .htaccess что-ли? Попробовал, не работает.

В httpd.conf, в конфиг каталога:

<Directory /var/www/html>
   allow override all
</Directory>

> И это куда непонятно:
> 
> > Order allow,deny
> > allow from 192.168.0.0/24
> > deny from all

А это уже в .htaccess, лежащий в /var/www.html.

--
WBR, Dmitry Lebkov

Re: [Comm] Re: Apache help need

[Gosha]

Hi!
On Tue, 11 Nov 2003 02:03:01 +1000
Dmitry Lebkov <dima@sakhalin.ru> wrote:

> В httpd.conf, в конфиг каталога:
> 
> <Directory /var/www/html>
>    allow override all
> </Directory>

Видимо все-таки - AllowOverride All (без пробела)?
(он там в "none" стоял.)

> > И это куда непонятно:
> > 
> > > Order allow,deny
> > > allow from 192.168.0.0/24
> > > deny from all
> 
> А это уже в .htaccess, лежащий в /var/www.html.

Сделал. Ничего не изменилось:

Forbidden
You don't have permission to access /sarg/index.html on this server.

Все по-прежнему. Имя и пароль не спрашивается. :-(

-- 
Best regards!
Igor Solovyov
System/Network administrator
JSC CB "Zlatkombank", Zlatoust, Russia

Re: [Comm] Re: Apache help need

[Gosha]

Hi!
On Tue, 11 Nov 2003 09:30:40 +0500
Gosha <gosha@zkb.ru> wrote:

> Сделал. Ничего не изменилось:
> 
> Forbidden
> You don't have permission to access /sarg/index.html on this server.
> 
> Все по-прежнему. Имя и пароль не спрашивается. :-(

Звиняюсь. У меня оказывается Мозилла был настроен на работу через
прокси. Потому и не работало. Теперь работает. Имя и пароль спрашивает.

Однако другая проблема - ввожу имя и пароль. Не пущает. :-(
Имя и пароль естественно правильные. Те что в .htaccess и .htpasswd.

-- 
Best regards!
Igor Solovyov
System/Network administrator
JSC CB "Zlatkombank", Zlatoust, Russia

Re: [Comm] Re: Apache help need

[Shawkat Nizamov]

>
>
>Однако другая проблема - ввожу имя и пароль. Не пущает. :-(
>Имя и пароль естественно правильные. Те что в .htaccess и .htpasswd.
>
Смотрите, что пишется в логах апача насчет авторизации

Re: [Comm] Re: Apache help need

[Gosha]

Hi!
On Tue, 11 Nov 2003 14:45:22 +0500
Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:

> >Однако другая проблема - ввожу имя и пароль. Не пущает. :-(
> >Имя и пароль естественно правильные. Те что в .htaccess и .htpasswd.
> >
> Смотрите, что пишется в логах апача насчет авторизации

Ну в общем-то все понятно стало:
(13)Permission denied: Could not open
password file: /var/www/html/.htpasswd

Было так:

# ls -l /var/www/html/.htpasswd 
-rw-r-----    1 root     webmaste...

Изменил на:

# ls -l /var/www/html/.htpasswd 
-rw-r--r--    1 root     webmaste...

Все заработало. 
Вот только правильно ли я сделал с точки зрения безопасности?
Ведь теперь этот файл доступен для чтения абсолютно всем.

-- 
Best regards!
Igor Solovyov
System/Network administrator
JSC CB "Zlatkombank", Zlatoust, Russia

Re: [Comm] Re: Apache help need

[Dmitry Lebkov]

On Wed, 12 Nov 2003 09:18:22 +0500
Gosha <gosha@zkb.ru> wrote:

> Hi!
> On Tue, 11 Nov 2003 14:45:22 +0500
> Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:
> 
> > >Однако другая проблема - ввожу имя и пароль. Не пущает. :-(
> > >Имя и пароль естественно правильные. Те что в .htaccess и .htpasswd.
> > >
> > Смотрите, что пишется в логах апача насчет авторизации
> 
> Ну в общем-то все понятно стало:
> (13)Permission denied: Could not open
> password file: /var/www/html/.htpasswd
> 
> Было так:
> 
> # ls -l /var/www/html/.htpasswd 
> -rw-r-----    1 root     webmaste...
> 
> Изменил на:
> 
> # ls -l /var/www/html/.htpasswd 
> -rw-r--r--    1 root     webmaste...
> 
> Все заработало. 
> Вот только правильно ли я сделал с точки зрения безопасности?
> Ведь теперь этот файл доступен для чтения абсолютно всем.

Дык отдай его во владение вебмастеру и на чтение только апачу
и убери 'чтение для всех':

# chown webmaster.apache .htpasswd
# chmod 640 .htpasswd

--
WBR, Dmitry Lebkov

Re: [Comm] Re: Apache help need

[Shawkat Nizamov]

>
>
>Все заработало. 
>Вот только правильно ли я сделал с точки зрения безопасности?
>Ведь теперь этот файл доступен для чтения абсолютно всем.
>  
>
Нужго отдать этот файл пользователю apache, группа apache.

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Wed, 12 Nov 2003 14:55:42 +1000
Dmitry Lebkov <dima@sakhalin.ru> wrote:

> > Вот только правильно ли я сделал с точки зрения безопасности?
> > Ведь теперь этот файл доступен для чтения абсолютно всем.
> 
> Дык отдай его во владение вебмастеру и на чтение только апачу
> и убери 'чтение для всех':
> 
> # chown webmaster.apache .htpasswd

Так не получается. :-))

chown webmaster.apache .htpasswd
chown: `webmaster.apache': invalid user

А вот наоборот (apache.webmaster) - все нормально. :-)

> # chmod 640 .htpasswd

Спасибо за помощь.

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Wed, 12 Nov 2003 10:04:02 +0500
Shawkat Nizamov <shawkat@samitc.uzsci.net> wrote:

> >Вот только правильно ли я сделал с точки зрения безопасности?
> >Ведь теперь этот файл доступен для чтения абсолютно всем.
> >  
> >
> Нужго отдать этот файл пользователю apache, группа apache.

Я отдал юзеру apache из группы webmaster. :-)

Спасибо за помощь.

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Leonid B. Sysoletin]

В сообщении от 12 Ноябрь 2003 16:11 Igor Solovyov написал(a):
> > # chown webmaster.apache .htpasswd
> Так не получается. :-))
> chown webmaster.apache .htpasswd
> chown: `webmaster.apache': invalid user

И не получится. Читайте документацию.
chown user[:group] file
Двоеточие, а не точка.

-- 
Л. Сысолетин,
webmaster@unicon-ms.ru, webmaster@bdo.ru
[Team Ёжики-рулез!] [Team Котёнки на солярке] [Team Берегите букву "ё"!]
[Team Я люблю свою фортунку] [Team Фортунка в переписку не вступает]

What do I consider a reasonable person to be?  I'd say a reasonable person
is one who accepts that we are all human and therefore fallible, and takes
that into account when dealing with others.  Implicit in this definition is
the belief that it is the right and the responsibility of each person to
live his or her own life as he or she sees fit, to respect this right in
others, and to demand the assumption of this responsibility by others.

Re: [Comm] Re: Apache help need

[Igor Solovyov]

Hi!
On Wed, 12 Nov 2003 16:20:14 +0300
"Leonid B. Sysoletin" <webmaster@unicon-ms.ru> wrote:

> В сообщении от 12 Ноябрь 2003 16:11 Igor Solovyov написал(a):
> > > # chown webmaster.apache .htpasswd
> > Так не получается. :-))
> > chown webmaster.apache .htpasswd
> > chown: `webmaster.apache': invalid user
> 
> И не получится. Читайте документацию.
> chown user[:group] file
> Двоеточие, а не точка.

Лично я никогда точкой и не пользовался. Всегда двоеточием.
А приведенный пример не работал не по этой причине, а по 
причине отсутствия такого имени юзера.
А точка то же работает.

-- 
Best regards!
Igor Solovyov
System/network administrator
JSC CB "Zlatkombank"

Re: [Comm] Re: Apache help need

[Dmitry Nechaev]

В сообщении от Среда 12 Ноябрь 2003 16:20 Leonid B. Sysoletin написал(a):

> В сообщении от 12 Ноябрь 2003 16:11 Igor Solovyov написал(a):
> > > # chown webmaster.apache .htpasswd
> >
> > Так не получается. :-))
> > chown webmaster.apache .htpasswd
> > chown: `webmaster.apache': invalid user
>
> И не получится. Читайте документацию.
> chown user[:group] file
> Двоеточие, а не точка.

man chown гласит:

If  the user name is followed by a colon or dot and a group name (or numeric 
group ID), with no spaces between them, the group  ownership  of the files is 
changed as well.

-- 
2.4.20-alt5-up GNU/Linux

Re: [Comm] Re: Apache help need

[Dmitry Lebkov]

On Wed, 12 Nov 2003 18:11:57 +0500
Igor Solovyov <gosha@zkb.ru> wrote:

> Hi!
> On Wed, 12 Nov 2003 14:55:42 +1000
> Dmitry Lebkov <dima@sakhalin.ru> wrote:
> 
> > > Вот только правильно ли я сделал с точки зрения безопасности?
> > > Ведь теперь этот файл доступен для чтения абсолютно всем.
> > 
> > Дык отдай его во владение вебмастеру и на чтение только апачу
> > и убери 'чтение для всех':
> > 
> > # chown webmaster.apache .htpasswd
> 
> Так не получается. :-))
> 
> chown webmaster.apache .htpasswd
> chown: `webmaster.apache': invalid user
> 
> А вот наоборот (apache.webmaster) - все нормально. :-)

Ага, пользователь webmaster отсутствует. %) 
 
> > # chmod 640 .htpasswd
Ну тогда и права надо поставить такие: 'chmod 460 .htpasswd'.
Основная идея - не дать апачу лишних прав. А запись в .htpasswd
для апача явно лишняя ... %) Хотя, если пароли будут меняться
через веб, то права на запись для апача придется оставить (опять
же, если не использовать более другие схемы управления именами и
паролями %).

> Спасибо за помощь.

Да особо не за что ... ;)

--
WBR, Dmitry Lebkov