Посилення безпеки веб-стеку (LAMP) за допомогою ізоляції мережевих служб для віртуальних машин

​Веб-стек - це набір різноманітного програмного забезпечення з відкритим вихідним кодом, такого як мова програмування серверної частини, операційна система, сервер баз даних та веб-сервер. Найпоширеніший стек називається LAMP. Ця назва є скороченням від Linux, сервера Apache, MySQL та PHP (в деяких випадках це може бути Python або Perl). З міркувань безпеки найкращим варіантом є запуск різних мережевих сервісів на окремих віртуальних машинах або системах. Очевидно, що в такій системі потенційні зловмисники не зможуть зламати багато сервісів.

У цій статті ми надамо найкориснішу інформацію про налаштування рішення, яке може обслуговувати кешування, динамічний/статичний контент та базу даних, функціонуючи на віртуальних машинах або окремих серверах.

LAMP: Традиційна конфігурація VS розділена конфігурація

Традиційна конфігурація сервера, коли всі сервіси знаходяться на одній машині, є надзвичайно ризикованою в наш час. Існує дуже багато хакерів, які можуть отримати доступ до вашого сервера і всіх даних на ньому з однієї спроби. Щоб виключити такі неприємності, краще розглянути варіант з розділеною конфігурацією.

Розділена конфігурація розділяє кеш, базу даних та інші частини на одному сервері. Переваги такого підходу полягають у наступному:

• Оптимізація
• Безпека
• Простота використання
• Зростання та масштабованість
• Спрощення моніторингу

​Ролі для кожної віртуальної машини/сервера в архітектурі Split LAMP

У наведеному нижче прикладі описано різні віртуальні машини, які можуть мати відношення до блогів, користувацьких додатків або веб-сайтів на основі Drupal.

Фактичне налаштування сервера

1. Встановлення та налаштування NFS-сервера.
2. Встановлення та налаштування сервера MySQL.
3. Встановлення та налаштування сервера Memcached.
4. Встановлення та налаштування сервера Apache.
5. Встановлення та налаштування сервера Lighttpd.
6. Встановлення та налаштування сервера Nginx.

​Переваги розділення служб LAMP з точки зору продуктивності та безпеки

Деякі з основних переваг розділення служб LAMP включають в себе наступні:

• Масштабування. З окремими сервісами набагато легше масштабувати всю систему. Наприклад, якщо у вас лише один сервер/віртуальна машина, то стратегія має бути дуже складною, щоб охопити кожен маленький компонент. Ви також повинні враховувати баланс навантаження, який суттєво впливає на характеристики продуктивності.
• Розгортання. Як правило, ці вузли є незмінними. Це означає, що розгортання відбувається шляхом створення нового вузла, а не додавання чогось до вже існуючого. Процес значно спрощується, коли база даних і додаток знаходяться в різних вузлах.
• Безпека. У разі будь-якого ризику атак, ви можете втратити доступ до одного вузла, а не до всіх одразу, що значно мінімізує проблеми.

upstream mybackend {
      server 837.234.1.10:80; #server1
      server 837.234.1.11:80; #server2
      ....
  	..
  	..
      server 837.234.1.100:80; # server100
}