LAMP stack na CentOS 6

[Nemanja Avramović]

Već par godina imam managed VPS pa rekoh aj' da uzmem jedan unmanaged da probam sve da postavim sam i da vidim kako će da ide

Elem, uzeh novi unmanaged VPS i nakačim se na SSH, te instaliram Apache, MySQL i PHP prateći ovo uputstvo, pokrenem httpd i kad odem na http://ip.adresa dobijem samo: The server at ip.adresa is taking too long to respond.

Nisam menjao default podešavanja očekujući neku default Apache welcome stranicu.

U Virtualization panelu piše da je firewall isključen i da je sav saobraćaj dozvoljen. http://www.yougetsignal.com/tools/open-ports/ za port 80 kaže da je zatvoren dok za port 22 kaže da je otvoren, što je i normalno jer se ja kačim na SSH.

[root@server ~]# cat /etc/centos-release
CentOS release 6.4 (Final)
[root@server ~]#

U prilogu je default httpd.conf. Ima neko neki savet? Da pogledam iptables (i kako), ili tako nešto? :S

[ivanhoe]

nisam dugo radio sa centos-om, ali mislim da on isto ima /etc/init.d/httpd skripte, tako da probaj prvo:

/etc/init.d/httpd status

pa vidi sta kaze da li je apache pokrenut (sa /etc/init.d/httpd stop/start/restart kontrolises servis)

Mozes jos i ovo da probas:

ps aux | grep httpd

da vidis koji su sve apache procesi pokrenuti, trebalo bi da bude jedan pod root-om i jos nekoliko kao www-data ili kako se vec zove apache user na centosu.

nestat -an | grep ':80 '

da vidis da li slusa na portu 80.. treba da pise *:80 ili 0.0.0.0:80 ako slusa na svim adresama, jer moguce da slusa samo 127.0.0.1
u /var/log/ su ti svi logovi, pa vidi sta kaze apache, jel se buni na neke greske (za gledanje logova koristis tail, recimo tail -100 neki.log ti prikaze zadnjih 100 linija)

Sorry ako tupim o stvarima koje vec znas, posto ne znam koliko si se petljao sa linuxom
konzolom ranije...

[mangia]

iptables -L -n pa vidi ima li šta po portu 80 da je zatvoreno

Takođe, provjeri da li je uključen selinux

provjeri logove:
/var/log/httpd/error_log i /var/log/httpd/access_log

[Nemanja Avramović]

Hvala na savetima, u Linux konzolu se razumem toliko koliko sam brljao po managed serveru (znam gde stoje ti najkorišćeniji fajlovi za LAMP, znam da pokrenem/restartujem servis, instaliram neki paket itd...), tako da što se konfiguracije samog LAMP okruženja tiče tu ću se snaći već nekako, ali sa ovim stvarima na nižem nivou nisam imao gotovo nikakvog iskustva (osim nešto malo na faksu).

Evo i rezultata... Apache je podignut:

[root@server ~]# /etc/init.d/httpd status
httpd (pid  5832) is running...

[root@server ~]# ps aux | grep httpd
root      5832  0.0  0.2 299848 10780 ?        Ss   01:29   0:02 /usr/sbin/httpd
apache    5834  0.0  0.1 299848  5836 ?        S    01:29   0:00 /usr/sbin/httpd
apache    5835  0.0  0.1 299848  5836 ?        S    01:29   0:00 /usr/sbin/httpd
apache    5836  0.0  0.1 299848  5836 ?        S    01:29   0:00 /usr/sbin/httpd
apache    5837  0.0  0.1 299848  5836 ?        S    01:29   0:00 /usr/sbin/httpd
apache    5838  0.0  0.1 299848  5836 ?        S    01:29   0:00 /usr/sbin/httpd
apache    5839  0.0  0.1 299848  5836 ?        S    01:29   0:00 /usr/sbin/httpd
apache    5840  0.0  0.1 299848  5836 ?        S    01:29   0:00 /usr/sbin/httpd
apache    5841  0.0  0.1 299848  5836 ?        S    01:29   0:00 /usr/sbin/httpd
root     30256  0.0  0.0 103244   800 pts/1    S+   12:19   0:00 grep httpd

Apache sluša na svim adresama na portu 80:

[root@server ~]# netstat -an | grep ':80 '
tcp        0      0 :::80                       :::*                        LISTEN

U iptables se ne razumem puno, radili smo na faksu pre par godina ali nikad se posle nisam susretao sa njima pa ne znam šta je šta, ali mi se čini kao da nema ništa eksplicitno podešeno da blokira port 80

[root@server ~]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Izgleda da je aktiviran taj SELinux, evo šta ima u Apache error logu:

[Sun Nov 24 12:26:33 2013] [notice] SELinux policy enabled; httpd running as context unconfined_u:system_r:httpd_t:s0
[Sun Nov 24 12:26:33 2013] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)
[Sun Nov 24 12:26:33 2013] [notice] Digest: generating secret for digest authentication ...
[Sun Nov 24 12:26:33 2013] [notice] Digest: done
[Sun Nov 24 12:26:33 2013] [notice] Apache/2.2.15 (Unix) DAV/2 PHP/5.3.3 configured -- resuming normal operations

I na kraju, kad uradim wget iz konzole, ovako:

wget -qO- http://localhost | less

Dobijem kao odgovor "Hello world!", što je i sadržaj fajla /var/www/html/index.html

Dakle, server je aktivan i sluša na portu 80, samo ne mogu da mu priđem spolja. Da li je uzrok tome SElinux i šta da mu radim?

[mangia]

Otvori /etc/sysconfig/selinux i umjesto enforcing upisi disabled. Snimi izmjene i reboot-aj server

Kasnije ako imaš vremena možeš praviti neke police i koješta ali čisto da provjeriš da li je do toga...

[Nemanja Avramović]

Uradio sam to, pa reboot, ponovo pokrenuo httpd, ali i dalje neće :S

[root@server ~]# cat /etc/sysconfig/selinux

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=disabled
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

Bilo je SELINUX=permissive, ne enforcing.

U nastavku...

[root@server ~]# cat /dev/null > /var/log/httpd/error_log
[root@server ~]# cat /var/log/httpd/error_log
[root@server ~]# /etc/init.d/httpd status
httpd is stopped
[root@server ~]# /etc/init.d/httpd start
Starting httpd:                                            [  OK  ]
[root@server ~]# cat /var/log/httpd/error_log
[Sun Nov 24 13:48:29 2013] [notice] SELinux policy enabled; httpd running as context unconfined_u:system_r:httpd_t:s0
[Sun Nov 24 13:48:29 2013] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)
[Sun Nov 24 13:48:29 2013] [notice] Digest: generating secret for digest authentication ...
[Sun Nov 24 13:48:29 2013] [notice] Digest: done
[Sun Nov 24 13:48:30 2013] [notice] Apache/2.2.15 (Unix) DAV/2 PHP/5.3.3 configured -- resuming normal operations

I dalje mi u error_log javlja da je SELinux aktivan :S

[mangia]

Prvi put vidim da se ne može tako isključiti selinux

Koji je javni IP servera ?

Šta dobiješ kada sa svog računara uradiš
telnet IPSERVERA 80

Trebao bi da dobiješ crn ekran (windows) ili ovako nešto ako koristiš linux
telnet google.com 80
Trying 173.194.112.166...
Connected to google.com.
Escape character is '^]'.

[Nemanja Avramović]

Uspeo sam da isključim SELinux, ali u /etc/selinux/config

Posle reboot-a:

[root@server ~]# /etc/init.d/httpd start
Starting httpd:                                            [  OK  ]
[root@server ~]# sestatus
SELinux status:                 disabled
[root@server ~]# ps -eZ | grep httpd
-                                1948 ?        00:00:00 httpd
-                                1950 ?        00:00:00 httpd
-                                1951 ?        00:00:00 httpd
-                                1952 ?        00:00:00 httpd
-                                1953 ?        00:00:00 httpd
-                                1954 ?        00:00:00 httpd
-                                1955 ?        00:00:00 httpd
-                                1956 ?        00:00:00 httpd
-                                1957 ?        00:00:00 httpd

Ovo mi je sad baš čudno. Naravno, i dalje je nedostupan spolja. error_log NE javlja da je SELinux aktivan, tako da nije do toga. Ili možda treba da ga aktiviram pa ovako nešto da uradim? (mada kod mene ne postoji fajl /etc/selinux/targeted/booleans koji se tu pominje)

edit: IP je 82.192.74.198 i nedostupan je preko telneta:

C:\Users\avram>telnet 82.192.74.198 80
Connecting To 82.192.74.198...Could not open connection to the host, on port 80:
 Connect failed

[mangia]

Nema šta. Port 80 nije dostupan na toj IP adresi.

Ako u access_log nema ništa, onda te konekcije ne dolaze do njega po portu 80...

Pokušaj zamijeniti port u httpd.conf-u pa vidi da li je dostupan iz vana po tom drugom portu.

Šta imaš još od fajlova u /etc/httpd/conf.d/ ?

[ivanhoe]

probaj ti ipak da privremeno iskljucis iptables, da bi bio siguran da nije do firewalla

# /etc/init.d/iptables save
# /etc/init.d/iptables stop

EDIT: e i probaj prvo da kucas iptables -L -v da vidimo tacno sta radi onaj prvi ACCEPT all (mislim da je on samo za localhost interfejs)