Apache HTTP Server/Konfiguration

Beinahe alle Einstellungen des Apache HTTP Server werden durch die Konfigurationsdatei "httpd.conf" gesteuert: Servername, Orte von Webverzeichnissen und Logdateien, die Zugriffsrechte, die Integration von PHP usw. Bei den meisten Linux-Distributionen gibt es nicht bloss eine Konfigurationsdatei "httpd.conf", sonderen gleich ein ganzes Rudel von Dateien. Das macht zwar jede einzelne Datei übersichtlicher und ermöglicht eine modulare Konfiguration, gleichzeitig erschwert es aber den Überblick.

Bei Novell- bzw. Opensuse-Distributionen kommt dazu, dass viele Apache-Konfigurationsdateien bei jedem Start neu erstellt werden. Eigene Änderungen sollten dort in der Datei "/etc/apache2/httpd.conf.local" durchgeführt werden. Damit diese Datei berücksichtigt wird, muss dieser Dateiname in die Variable "APACHE_CONF_INCLUDE_FILES" in der Datei "/etc/sysconfig/apache2" eingefügt werden.

Linux-Distribution	Pfad zur Datei "httpd.conf"	Standardverzeichnis für Webdateien
Fedora, Red Hat	/etc/httpd/conf/*	/var/www/html
Debian, Ubuntu	/etc/apache2/*	/var/www
Novell, Opensuse	/etc/apache2/*	/var/www/htdocs
Linux XAMPP	/opt/lampp/etc/httpd.conf	/opt/lampp/htdocs

Änderungen an der Konfiguration werden erst wirksam, wenn der Apache HTTP Server neu gestartet wird.

Zu beachten ist, dass der Apache HTTP Server unter einem eigenen Benutzerkontro läuft (oft "nobody", bei SUSE "wwwrun"). Bei allen Webdateien müssen die Zugriffsrechte so eingestellt werden, dass dieser Benutzer und damit auch Apache sie lesen kann.

Grundeinstellungen

Zu den wichtigsten Einstellungen gehören die folgenden.

Parameter	Beschreibung
ServerName	Netzwerkname des Rechners, auf dem der Apache HTTP Server läuft. Unter diesem Namen ist er von anderen Rechnern aus im Rechnernetz erreichbar. Fehlt die Einstellung, so versucht Apache, den Netzwerknamen selbst herauszufinden.
DocumentRoot	Das Verzeichnis, in dem sich die Webdateien (*.html, *.php usw.)befinden.
LoadModule	Wenn der Apache HTTP Server so kompiliert wurde, dass er zur Laufzeit Module laden kann (das ist meist der Fall), so sind dafür "LoadModule"-Anweisungen erforderlich, die beispielsweise wie folgt aussehen. LoadModule php5_module /usr/lib64/apache2/mod_php5.so
AddDefaultCharset	Der Zeichensatz der Webdateien.
<Directory "xxx">	Dieser aus mehreren Zeilen bestehende Block beschreibt alle Eigenschaften eines Webverzeichnisses. "<Directory />" enthält die Standardeinstellungen, die unter anderem auch für "DocumentRoot" gelten. Der "<Directory>"-Block endet mit "</Directory>" und kann beispielsweise wie folgt aussehen. <Directory "verzeichnis"> ... AllowOverride AuthConfig FileInfo Option Indexes </Directory> Innerhalb des Blocks steuern verschiedene Optionen, was in diesem Verzeichnis erlaubt bzw. verboten ist und wer darauf Zugriff hat. Option Beschreibung AllowOverride Oft ist es erwünscht, dass der Apache HTTP Server in Webverzeichnissen die Datei ".htaccess" auswertet und die darin enthaltenen Einstellungen auf das Verzeichnis anwendet. Dazu muss mit "AllowOverride" angegeben werden, welche Veränderungen zulässig sind. Mögliche Einstellungen sind die folgenden: "None" verbietet alle Änderungen und ist oft die Standardeinstellung. "All" erlaubt alle Änderungen. Eine Kombination aus "AuthConfig" (Authentifizierung), "FileInfo" (Sprach- und Zeichensatzeinstellungen, Fehlerdatei), "Indexes", "Limit" (Zugriffsrechte) und "Options". Options Indexes Wird im Webbrowser der URL "http://rechnername/verzeichnis/" angegeben wird, so liefert der Apache HTTP Server je nach Konfiguration von "DirectoryIndex" automatisch die Seite "index.html", "index.php" usw. Sollte keine der "DirectoryIndex"-Dateien vorhanden sein, so bewirkt "Options Indexes", dass ein Inhaltsverzeichnis angezeigt wird. Das ist während der Programmentwicklung oft nützlich, kann im Echtbetrieb aber ein Sicherheitsrisiko darstellen.
DirectoryIndexes	Angabe einer oder mehrerer Dateien, nach denen der Apache HTTP Server sucht, wenn im Webbrowser nur ein Verzeichnis angegeben wird. Eine übliche Einstellung lautet "index.html index.php main.php default.php". Wird im Webbrowser nun der URL "http://rechnername/verzeichnis/" eingegeben, so sucht Apache für dieses Verzeichnis nach den angegebenen Dateien und liefert die erste passende Datei.

Passwortschutz für Webverzeichnisse

Sobald der Apache HTTP Server läuft, hat jeder im Rechnernetz bzw. Internet Zugang zu allen von Apache verarbeitbaren Webseiten. Der Zugriff kann auf drei Arten eingeschränkt werden.

• Absicherung in der Datei "httpd.conf": In der Datei "httpd.conf" kann genau eingestellt werden, von welchen Adressen die Webseiten eines bestimmten Verzeichnisses gelesen werden dürfen.
• Absicherung durch eine Firewall: Wird auf dem Rechner eine Firewall betrieben, so kann diese derart konfiguriert werden, dass Apache nicht von aussen (also über das Rechnernetz) kontaktiert werden kann. Die Webseiten können dann nur vom lokalen Rechner aus betrachtet werden.
• Passwortabsicherung einzelner Verzeichnisse: Im zu schützenden Verzeichnis wird eine Datei mit dem Namen ".htaccess" angelegt und dort angegeben, dass dieses Verzeichnis erst nach einer vorherigen Authentifizierung durch Name und Passwort gelesen werden kann. Apache wertet diese Datei aus und zeigt allen Surfern, die Dateien aus diesem Verzeichnis mit ihrem Webbrowser ansehen möchten, ein Anmeldefenster.

Absicherung des Apache HTTP Servers

Einrichtung von Zugriffskontrollen und Authentifizierung auf dem Apache HTTP Server.

Der Apache HTTP Server ist der beliebteste Webserver, der viele integrierte Sicherheitsmechanismen bietet, u. a.

• Rechnerbasierte Rechnernetzzugriffskontrolle (über die Direktiven "order", "allow" und "deny")
• Kontrolle darüber, ob und wo lokale Benutzer CGI-Skripte laufen lassen können.
• Kontrolle darüber, ob und wie lokale Benutzer die Einstellungen ausser Kraft setzen können.

Einige wichtige Optionen (Direktive "Options") sind die folgenden.

ExecCGI	Legt fest, dass CGI-Skripte unter dieser Verzeichnishierarchie ausgeführt werden können. Das Common Gateway Interface / CGI ist plattform- und sprachenneutral, CGI-Programme können deshalb in jeder Sprache geschrieben werden, z. B. BASIC, C/C++, Perl, Python, TCL, Shell-Sprachen (sh, bash usw.).
FollowSymLinks	Ermöglicht entfernten Benutzern, symbolischen Verknüpfungne zu folgen, indem sie einfach auf ihre Hyperlinks klicken.
Includes	Bestimmt, dass der Apache HTTP Server sogenannte Server Side Includes / SSI verarbeitet, ein System, mit dem Webmaster aktuelle Informationen in HTML-Dokumente einfügen können, ohne CGI-Programme schreiben zu müssen. Um Standard-SSI ohne die exec-Direktive zu aktivieren, wird die Optionenzeile wie folgt geändert. Options IncludesNOEXEC
Indexes	Ermöglicht eine Inhaltsauflistung des Verzeichnisses, wenn der Apache HTTP Server keine Standardseite findet.