Impedire ad altre applicazioni di collegarsi alle porte 80 e 443

La scorsa settimana ho ricevuto una chiamata da un cliente spaventato perché pensava che il suo sito Web fosse stato violato. Quando ho cercato il suo sito Web ho visto la apache2pagina predefinita. Quella notte il mio server ( Ubuntu 16.04 LTS) si era aggiornato e riavviato. Normalmente quando qualcosa va storto sarei stato avvisato durante la notte. Questa volta no, perché il sistema di monitoraggio verifica il codice di stato HTTP 200 e la apache2pagina predefinita viene fornita con il codice di stato 200.

Ciò che è accaduto è che durante l'avvio è apache2stato più veloce associarsi alle porte 80 e 443 rispetto al mio nginx server web reale. Non ho installato apache2 da solo. Attraverso aptitude why apache2ho scoperto che il pacchetto php7.0 lo richiede.

La semplice rimozione apache2non funzionerà perché apparentemente php7.0 lo richiede. È in qualche modo possibile creare una restrizione in modo che solo nginx sia autorizzato a collegarsi alle porte 80 e 443?

Anche altre soluzioni sono più che benvenute.

Non è possibile impedire a una porta di essere vincolata dal servizio sbagliato. Nel tuo caso, basta rimuovere apache dall'avvio automatico e dovresti essere bravo.

Per il 16.04 e successivi:

sudo systemctl disable apache2

Per le versioni precedenti di Ubuntu:

sudo update-rc.d apache2 disable

Se davvero non lo stai utilizzando apache2, ed è PHP 7.0 che lo richiede, sembra che tu abbia libapache2-mod-php7.0installato. Quel pacchetto è inutile senza Apache. Dal momento che stai usando nginx, probabilmente hai anche php7.0-fpmo php7.0-cgiinstallato, uno dei quali è sufficiente per soddisfare php7.0i requisiti di dipendenza:

$ apt-cache depends php7.0
php7.0
 |Depends: php7.0-fpm
 |Depends: libapache2-mod-php7.0
  Depends: php7.0-cgi
  Depends: php7.0-common
  Conflicts: <php5>

Se hai php7.0-{fpm,cgi}installato uno dei due , puoi andare avanti e disinstallare Apache.

Per rispondere alla tua domanda, puoi probabilmente limitare una porta a un'applicazione specifica usando SElinux. Non l'ho usato da solo e ho solo una conoscenza superficiale delle sue capacità, ma ecco un puntatore che ho trovato in questo sito:

/server//a/257056/392230

In quella risposta, wzzrd sembra mostrare come autorizzare un'applicazione specifica (foo) a collegarsi a una porta specifica (803). Dovresti solo avere il criterio impostato in modo che solo alla tua applicazione (nginx) siano consentite le porte specificate (80 e 443).

Basandomi sulla risposta di wzzrd, potrebbe essere semplice come aggiungere questo alla politica

allow nginx_t nginx_port_t:tcp_socket name_bind;

e eseguendo questo

semanage port -a -t nginx_port_t -p tcp 80
semanage port -a -t nginx_port_t -p tcp 443

Tuttavia, immagino che avrai anche bisogno di una linea nella politica che specifichi che nessun altro programma può legarsi a quelle porte.

Alla fine, sto solo indovinando quale sia la configurazione appropriata.

Comunque, non penso che ci sia stato un Ubuntu con SElinux installato e abilitato di default. Poiché credo che richieda l'applicazione di alcune patch a varie utility e un'opzione del kernel, potrebbe essere più semplice utilizzare semplicemente Centos che ha installato SElinux e abilitato fin dall'inizio.

Mi dispiace, non sono di ulteriore aiuto. Forse un'altra volta, scaricherò un'immagine di Centos e proverò questo; sarà un buon passo di apprendimento. Aggiornerò questa risposta se lo faccio.

Qualcosa che non ho ancora visto nelle risposte, ma è ancora una possibilità:

Cambia la configurazione di Apache per ascoltare un'altra porta, per ogni evenienza. Puoi farlo aprendo il file di configurazione di Apache e cambiando le linee che hanno Listen 80su un'altra porta.

Non ho una risposta alla tua domanda esatta, ma forse devi guardare la tua distribuzione. Considererei qualsiasi distro che abilita i servizi (apache2 qui) all'installazione ad essere insicuri. Considera di esaminare una distro che non lo fa. Non posso dire di aver mai visto quel comportamento su Archlinux, sono sicuro che ce ne sono altri.