Lighttpd "how to" - serveur Web rapide et sécurisé

Explication des directives de lighttpd.conf

Maintenant, nous devons modifier le fichier de configuration. Jetons un oeil à chacune des directives.

• options de performance (temps morts agressifs) :
  Ce sont les délais d'attente pour toutes les connexions au serveur. Nous utilisons des délais agressifs pour fermer les processus enfants rapidement pour économiser de la mémoire et du temps CPU. Pas besoin de garder une connexion ouverte si elle n'est pas utilisée.

  • server.max-keep-alive-requests : nombre maximum de demandes dans une session avant que le serveur ne termine la connexion. (Par défaut: 16) Ne pas mettre cette valeur à moins que le plus grand nombre d'objets servi sur une seule page si le serveur est chargé (> 500 demandes / sec). Par exemple, si vous avez 3 photos, un fichier CSS, un favicon.ico et la Page principale alors cela fait 6 objets → ici, la valeur ne doit pas être inférieure à 6. Si vous avez un serveur à faible trafic (<1 000 demandes / minute), vous pouvez définir cette valeur à zéro pour servir une demande et fermer la connexion. Cela va forcer les clients à se connecter une fois pour chaque objet sur la page. Cela signifie que vous pouvez utiliser votre pare-feu pour bloquer les agresseurs multi-connexion.
  • server.max-keep-alive-idle nombre maximum de secondes avant fermeture de la connexion pour une connexion en attente (Par défaut: 30)
  • server.max-read-idle nombre maximum de secondes avant fermeture de la connexion pour une lecture en attente (Par défaut: 60)
  • server.max-write-idle nombre maximum de secondes avant fermeture de la connexion pour un appel d'écriture en attente (Default: 360)
• server.max-worker : nombre de processus à gérer. (Default: 0) NOTE: Si vous utilisez server.max-worker, le module mod_status ne montrera pas les statistiques de tous les enfants du serveur combinés. Vous verrez des statistiques différentes à chaque demande.
• server.max-fds : nombre maximal de descripteurs de fichiers. Pour voir le nombre en cours, tapez

  ulimit

  La limite de descripteurs de fichier est le nombre maximal de fichiers qu'un processus ou un utilisateur peut ouvrir en même temps. En termes de serveur Web, c'est le montant total de fonctions, connexions utilisateurs reconnus, ou autres tâches, y compris php mysql.

• server.max-connections : nombre total de connexions simultanées que le serveur accepte. Une valeur sûre est la moitié la valeur spécifiée pour “server.max-fds”.
• connection.kbytes-per-second : limite en kilo-octets (Ko) pour chaque connexion. Gardez à l'esprit qu'une limite en dessous de 32kb/s pourrait effectivement limiter le trafic à 32kb/s. Cela est dû à la taille de la mémoire tampon d'envoi TCP.
• server.kbytes-per-second : limite en kilo-octets (Ko) pour le serveur Web entier. Gardez à l'esprit qu'une limite en dessous de 32kb/s pourrait effectivement limiter le trafic à 32kb/s. Cela est dû à la taille de la mémoire tampon d'envoi TCP.
• server.bind : interface à laquelle se reliera le démon. Si vous souhaitez le lier à une adresse IP spécifique, la mettre ici. Si vous voulez que lighttpd se lie à toutes les interfaces alors commenter cette ligne.
• server.port : Par défaut, le démon se lie au port 80. Si vous avez un autre port à lier comme 8080, saisissez-le ici.
• server.username and server.groupname : utilisateur et groupe sous lesquels travaillera le démon. Si vous voulez que lighttpd tourne en tant qu'utilisateur non privilégié, c'est l'endroit pour le mettre. Si vous commentez ces lignes, le démon tournere comme l'utilisateur qui a lancé le processus ou “nobody” selon la distribution du système d'exploitation que vous utilisez.
• server.pid-file : Le fichier d'id de processus permet de HUP le serveur ou de faire tourner les logs. Assurez-vous que le fichier de pid peut être fait en vérifiant le répertoire de travail de votre choix.
• server.tag : nom du serveur que lighttpd enverra aux clients distants dans les en-têtes HTTP. Normalement, il est utilisé par les robots collecteurs pour classer chaque type de serveur et établir une liste des serveurs Web en cours d'exécution sur le web. L'auteur de lighttpd voudrait que chacun mette “lighttpd”, mais vous pouvez mettre n'importe quoi dans cette chaîne.
• server.document-root : racine de l'arborescence web.
• server.chroot : Cela signifie que le démon “chroote” l'accès des utilisateurs à la racine du serveur.
• index-file.names : nom du fichier d'index que le démon doit rechercher dans un répertoire si le client ne le précise pas. Par défaut, index.html.
• dir-listing.activate : active ou désactive la liste de répertoire pour un répertoire qui ne contient pas de fichier index.html ou de tout fichier répertorié dans “index-file.names”.
• compress.cache-dir and compress.filetype : Le réglage de compression permettra au démon de compresser avec gzip les types de fichiers que vous spécifiez et de les placer dans le cache-dir. Cela peut économiser beaucoup de bande passante sortante. Comme bonus supplémentaire, les clients distants obtiennent les données plus rapidement et votre site semble nettement plus rapide. Il est important de se rappeler que tous les types de fichiers ne sont PAS à comprimer. JPG par exemple, est nativement comprimé et le comprimer à nouveau avec gzip va en réalité le faire grossir.
• expire.url : La balise d'en-tête “expire” dit aux clients qu'ils doivent conserver une copie de l'objet qu'ils ont déjà téléchargé pendant un laps de temps spécifié. Dans notre exemple, nous disons au client de conserver les données dans la mémoire cache du navigateur local à partir du moment où ils ont accédé aux données jusqu'à au moins 6 heures plus tard. Cela permet d'économiser aussi beaucoup de bande passante de téléchargement pour vous. Au lieu de clients qui télécharge la même image bannière, encore et encore, ils peuvent garder une copie locale et ne charger que les changements sur votre site. Imaginez un client qui charge 5 pages de votre site. Chaque page a une bannière de 15KB. Avec expire, le client ne télécharge la bannière qu'une fois au lieu de 5 (15KB par rapport à 75Ko). Cela accroît votre bande passante rend votre site beaucoup plus rapide à répondre.
• accesslog.format : Si vous utilisez un proxy en amont de Lighttpd, l'adresse IP du proxy sera affichée dans les journaux au lieu de l'ip du client distant. Décommentez cette ligne si vous utilisez un proxy, pour lire le champ “X-Forwarded-For” de l'en-tête et entrer l'adresse ip du client distant dans le fichier journal d'accès Lighttpd. Si vous n'utilisez pas un proxy alors gardez cette ligne commentée. La valeur par défaut de accesslog.format est le bon format et travaillera avec Webalizer, Analog et AwStats.
• accesslog.filename and server.errorlog : emplacement du journal d'accès et les journaux d'erreurs pour le démon. Assurez-vous que l'utilisateur que le démon est en cours d'exécution comme on peut accéder et écrire dans ce répertoire.
• server.errorfile-prefix : Cette directive est pour le répertoire de la page d'erreur personnalisée si vous souhaitez en utiliser une. Sinon, mettez cette ligne en commentaire et lighttpd va générer sa propre page d'erreur. Dans l'exemple que nous faisons que le répertoire ”/var/www/htdocs/errors/“ inclue les fichiers d'erreur html. Ensuite, pour chacun des codes d'erreur (400-417 and 500-505) nous faisons une page d'erreur personnalisée. Les noms de chaque page d'erreur commencent par la chaîne “errorcode-” comme nous l'avons précisé dans la directive. Ainsi, le fichier de l'erreur 404 serait “errorcode-404.html” et celui de l'erreur 505 serait “errorcode-505.html”.
• debug.log-??? : options à décommenter si vous souhaitez voir toutes les réponses d'erreur et les demandes des clients. Très utile pour trouver des bugs ou si quelque chose va mal dans un site web.
• mod_evasive : Ce module va limiter le nombre de fois où une adresse IP simple peut se connecter à notre serveur et recevoir la bonne page. Dans l'exemple nous avons mis la limite à 25 connexions par ip. Après cette limite, le client obtiendra la page d'erreur 404.
• limit request method “POST” size in kilobytes (KB) : The server.max-request-size is the limit in kilobytes for data accepted through the request method “POST”. If you run a web server that does not accept uploads then you can set the POST request method data limit to one(1) kilobyte, in effect POST request will always be denied. This is not really necessary, but it will help deny confused browsers and malicious bots. The maximum size in kbytes of the request (header + body). Only applies to POST requests. Default: 2097152 (2GB)
• server.range-requests : defines if range requests are allowed or not. Range request are requests of one or more sub-ranges of a file. Range requests are very helpful for interrupted downloads and fetching small portions of huge files. The problem is download accelerators car put a huge load on your server by downloading many different parts of a file at the same time. Most of the time the download accelerator is broke and is not helping anyone by using up extra bandwidth. Internet Explorer (IE) also has problems opening up some files like PDF's is the range option is enabled. The example conf disables server.range-requests just to be safe. (Default: enabled)
• server.follow-symlink : If you do not use, and do not expect to use sym links then disable them.
• server.force-lowercase-filenames : This directive will force lighttpd to _ONLY_ serve files with lower case file names. Be careful if you enable this one. A file with mixed case, like “TeSt.html” will not be served due to upper case letters if this directive is enabled. (Default: disabled)
• status.status-url : This is the lighttpd dynamically generated status page. It will show the time the server has been running, total traffic served and some time based stats like traffic for the last 5 minutes. Notice we put this page into the “hidden_dir” which is explain below.
• password protected area : If you have an area of the web site you only want authorized personnel to see then you can protect it. This set of directives will password protect the /hidden_dir and all files and directories under it, like the server-status page. We will use the htdigest method which is the best choice to use especially for non-https sites. It will not send any of the passwords in clear text. Check “man htdigest” for details.
  To make a password file use the binary htdigest in the form:

  htdigest -c /var/www/htdocs/hidden_dir/passwd_file REALM_NAME USER_NAME

• request method restrictions : Request Method restrictions were added in v1.5.x. This allows you to filter on GET, HEAD, POST, SEARCH, etc. We will be limiting access to our example server to GET and HEAD requests only as we do not allow uploads or any other options due to security concerns. All other request methods will get an error.
• deny access to unwanted bots or bad clients : If you wanted to deny access to certain user agents like the Google bot or perhaps all old versions of IE you can do that here. Put in part of the string of the user agent you want to deny.
• access control list : This is a way you can define a directory and only allow clients coming from the specified ips to have access. This might be nice to allow internal LAN clients access to the status pages or employee contact information and deny other clients. In our example we will allow the clients coming from localhost 127.0.0.1, an internal LAN ip 10.10.10.2 and some external ip 20.10.20.30 to access the protected “hidden_dir” directory.
• url redirect : If you prefer clients who connect to your server to instead use the sub domain www use this rule. For example, if a browser connects to calomel.org they will be redirected to the url www.calomel.org . If they then save the bookmark it will show up as the www sub domain.
• stop image hijacking : Image hijacking is when someone makes a link to your site to one of your pictures or videos, but displays it on their site as their own content. The reason this is done is to send a browser to your server to use your bandwidth and make the content look like part of the hijacker's site. This is most common as people make links to pictures and add them to a public forum or blog listing. They get to use your picture in their content and not have to use their bandwidth or server to host the file. In order to keep your bandwidth usage low you should block access to images from those clients who are not requesting the connection from your site. Note, this function can be used for any kind on content. Just add the file types to the url.access-deny list. If would like more ideas on lowering bandwidth usage check out our Saving Webserver Bandwidth (Tips).
• virtual host limits : A virtual host is the hostname of your web server. For example this site is called calomel.org. Some bots and scanners will try to access your site using the ip address or no hostname header at all to bypass virtual host limitations. We can block this type of behavior by requiring all clients who want to access our server to reference us by our official host name. This will block anyone who is scanning ip addresses or trying to be mischievous, but allow normal clients like browsers and bots like Google.
• stop referer spam : Referer spam is more of an annoyance than a problem. A web site will connect to your server with the referer field referencing their web site. The idea is that if you publish your web logs or statistics then their hostname will show up on your page. When a search bot like Google comes by it will see the link from your site to theirs and give them more PageRank credit. First, never make your weblogs public. Second, block access to referer spammers with these lines.
• mimetype.assign : These directive simply allow our server to send the the proper file type and application type to the clients. The list in the example is the same as the default lighttpd config options.