bk-apache

• http://d.tir.jp/apache.html

• 携帯端末向けapache設定
• CGIメタ変数SCRIPT_NAMEが壊れてる時がある
• wikiで特定のwikinameを使うと何故か404が出る
• なんかよく分からないけど、長い間Apacheが起動してると、そのうちアクセスしづらくなる
• VirtualHostの設定状態を確認する
• アクセス制限をかける時の注意事項
• VirtualHostの動作概要
• mod_ssl
• apachectl
• RLimit*系の設定
• cronolog

携帯端末向けapache設定

• Content-Length必須の端末があるので、常にContent-Lengthを出すようにする事
• SSLを使う場合は以下に注意する
  • 自署名不可の端末有り(au)。
  • KeepAliveをonにし、KeepAliveTimeoutを100〜180に設定する事。KeepAliveTimeoutが短いと異常動作する端末有り。尚、KeepAliveTimeoutはvhost毎の設定が可能っぽいので、そこでhttp/httpsの設定を分けると良い。
  • http://www.nttdocomo.co.jp/service/imode/make/content/ssl/notice/index.html
  • http://www.docomo.biz/img/product/firstpass/pdf/fp_apache.pdf の、apacheの設定部分が参考になる。
  • http://hp.vector.co.jp/authors/VA003991/linux/apache/modssl.html によると、

    セキュアサーバーの場合、中間証明書は必ずしも必要ありませんが、DoCoMoからアクセスするとDoCoMo端末に切断されてしまう場合があるので、携帯サイトを作る時は必ず設定しておきます。

    らしい(但し、ここ以外でこの話は聞かず、実際の真偽は不明)。

CGIメタ変数SCRIPT_NAMEが壊れてる時がある

• apache2系では、PATH_INFO部分に、スラッシュが複数連続するようなpartを入れてリクエストすると、PATH_INFO化される際に、連続したスラッシュが一つにまとめられる挙動をするようになった。が、ココでエンバグしているらしく、その際にSCRIPT_NAMEにPATH_INFO部分の一部が含まれてしまうようになった。
  • 具体的には、env.cgiみたいなcgiのurlのうしろに「/a//b」をつけると、apache1系ではSCRIPT_NAMEは変化しないが、apache2系ではSCRIPT_NAMEの末尾に「/a」が追加されてしまっている。
    • 「/a/b」等、スラッシュが複数連続していなければ、apache2系でも別に問題は発生しない(SCRIPT_NAMEは変化しない)。
• 2.0.54で確認。ChangeLogを見たところ、とりあえず2.0系では直ってなさそう。apache1系では正常。2.2系は未確認。
• httpd.apache.orgにバグレポート送るのが面倒なので、ココにだけ残しておく。
  • すいませんが、これを読んだ、やる気のある方は、httpd.apache.orgにバグレポート出しといてください。自分はやる気ない。
• やっぱapacheはコード品質的に難があるのか？

wikiで特定のwikinameを使うと何故か404が出る

• apacheでは、urlのpath部分に%2fが含まれていると、問答無用で404を出すようになっている。
• なので、wikinameをPATH_INFOに埋め込むタイプのwikiで、エンコードされたwikinameにスラッシュが含まれていると、そのページは404になってしまう。
• apache2では、コレを回避する為のオプションが用意されている。
• 他にも、apacheには、知られざる微妙な挙動がまだまだ満載(私見)。

なんかよく分からないけど、長い間Apache?が起動してると、そのうちアクセスしづらくなる

• こうなる大抵の原因は、KeepAliveなクライアント多過ぎ＆KeepAliveTimeOut長過ぎ。多分。
  • それか怪しげなモジュールを入れているかのどちらか。多分。
• とりあえずmod_status?を有効にして、アクセスしづらくなってる最中の状態を観察する事。

VirtualHostの設定状態を確認する

• Apache?1系なら、

  /path/to/apache/bin/httpd -S
  

  • 但し、mod_sslを組み込んでいるなら、

    /path/to/apache/bin/httpd -S -DSSL
    

    としといたほうが無難。

アクセス制限をかける時の注意事項

• すいません、あとで書きます…‥。
• 尚、mod_proxyのProxyPass系設定でreverse proxy状態にしているURLには、このアクセス制限は効果が無いっぽい(常にAllowされる)。

VirtualHostの動作概要

• クライアントのアクセスによって、どのVirtualHostディレクティヴを適用すべきなのかを決定する為に、以下のようなプロセスを踏んでいるっぽい(自分がそう思っているだけ。ソースとか追ったりはしてない)。

• Apache?内部には、三段階のテーブルがあり、それらが順番に引かれる。

1. まず、「ip/port」のセットがキーになったテーブル。コレは、VirtualHostディレクティヴによって作られる。
   1. まず、普通に、「ip:port」で引いてみて、マッチするのがあれば次へ。
   2. マッチするのが無ければ、「ip:*」「*:port」で引いてみる。
   3. それでもマッチするのが無ければ、「*」「*:*」で引いてみる。
   4. それも無いなら、VirtualHostではなく、大元の設定が使われる。
2. 次に、また「ip/port」のキーで、同様に、NameVirtualHostのテーブルが引かれる。
   • マッチすれば、name based virtual hostとして、更に分岐。
   • そうでないなら、非name based virtual hostとして、この時点で、どのVirtualHostディレクティヴが使われるか確定。
3. name based virtual hostの場合、更にテーブルを引く。このテーブルはip/portごとに作られる。キーはVirtualHostディレクティヴ中のServerName/ServerAliasが使われる。
   1. Host:ヘッダで引き、マッチするものがあれば、そのVirtualHostディレクティブが使われる。
   2. 無ければ、設定ファイル(httpd.confとか)の読み込まれた順で、ipとportのマッチした中で、一番最初に出てきたVirtualHostディレクティヴが使われる。

• 尚、この分岐と、listenするip/portを指定するListenディレクティヴは完全に独立しているので、キチンとListenディレクティブでどのipのどのportをlistenするのか指定するのを忘れないようにする事。

mod_ssl

• apachectl startsslは、内部で、-DSSLをつけてhttpdを実行している。

• mod_sslによるsslは、非name-base(つまり、ip/port-base)なVirtualHostとして設定を行う。そういう事。

• telnet localhost 80と同じ感覚で、httpsを試すコマンド

  $ openssl s_client -connect localhost:443
  

  あとは、自分で、GET / HTTP/1.0とか適当に入力する事。

apachectl

• apachectlのrestartやgracefulは、シグナルで制御を行っているので、追加したモジュールやos環境によっては、まれに動作がおかしくなる可能性がある(特に、mod_言語名等を使っている場合)。 絶対確実安全に再起動をしたい時は、原始的に、stopして、少しsleepしてからstartするようにする事。
• listenするportを変更してrestart/gracefulを行うと、再起動に失敗しやすい(portのbindに失敗する)。
• モジュールを追加/更新した時はrestart/gracefulは行わない事。

RLimit*系の設定

• RLimit*系のパラメータは、ソースコンパイル時に何処かのヘッダで最大値または最小値が決められているっぽいので、それより大きくしたい場合は、予めApache?のソースをいじって、パラメータの最大値を増やしておく必要がある。

cronolog

• http://www.cronolog.org/
• ソース本体は最早あまりメンテされておらず、パッチを当てる必要がある（PATCHESページから貰う）
  • 沢山のパッチを一つにまとめられたjumbo patchがあるが、コレ、何処かおかしい気がする…‥。面倒でも一つずつ、自分に必要そうなものを選別して当てた方がよさそう。

• bk