FreeBSD WEB服务器架设笔记 系统安装、升级、内核定制 FreeBSD 5.2.1 RELEASE Mysql 4.0 Apache 2.0.50 PHP 4.3.8 Pure Ftpd 1.0.20 一、系统安装 系统安装选择standard方式 Minimal 安装,安装完后启动系统 Code: [Copy to clipboard] /stand/sysinstall configure->distributions 选择:src->sys 和 ports 两个,安装系统内核源码和ports tree 这一段对服务器没用,只是为了方便在家里用ADSL接入互联网,以便调试服务器 ================================================ 启用adsl: 编辑 ppp.conf 配置文件 Code: [Copy to clipboard] ee /etc/ppp/ppp.conf 加入以下代码: Code: [Copy to clipboard] adsl : #配置代号 set device PPPoE: em0 # 用你的网卡设备名称替代xl1 set authname *** #你的ADSL登陆名称 set authkey *** #你的账号密码 set dial set login set ifaddr 10.0.0.1/0 10.0.0.2/0 255.255.255.0 0.0.0.0 add default HISADDR# Add a (sticky) default route enable dns #从拨号服务器中获得正确的DNS服务器地址 注意:每一个设定行前要有一个空格,adsl: 这一个配置代号行前面不能有空格 手动启用ADSL: Code: [Copy to clipboard] ppp -ddial adsl 如果想在系统启动时自动启用adsl:ee /etc/rc.conf 加入以下代码: Code: [Copy to clipboard] ppp_enable="YES" ppp_mode="ddial" ppp_profile="adsl" =================================== 二、cvsup 升级源码 确定机器已经联上网了 Code: [Copy to clipboard] cd /usr/ports/net/cvsup-without-gui make install clean 这个过程会很漫长,去看会儿 China Open 吧,吼吼 ........ 好了,cvsup 装好了,现在来升级源码 supfile懒得自己写,可以拷sample过来用: 为了以后升级时不用再写supfile,建个目录放supfile吧 Code: [Copy to clipboard] mkdir /usr/cvusp cp /usr/share/examples/cvsup/stable-fupfile /usr/cvsup cp /usr/share/examples/cvsup/standard-fupfile /usr/cvsup cp /usr/share/examples/cvsup/ports-fupfile /usr/cvsup 一般就用这三个,如果你觉得不够,可以将 /usr/share/examples/cvsup 下面的supfile 全拷过去 更新 ports tree 编辑 supfile Code: [Copy to clipboard] ee /usr/cvsup/ports-supfile 为了加快 cvsup 的速度,用国内的cvsup服务器 Code: [Copy to clipboard] *default host=cvsup3.cn.freebsd.org #把这行改了 作为一个web服务器,没必要升级全部的 ports tree,再接着改一下 Code: [Copy to clipboard] #ports-all #这行前面加上注释号,不然就会更新全部 ports tree了 然后,下面的一段已经加上注释号的,也要改 Code: [Copy to clipboard] ports-base #ports-arabic ports-archivers #ports-astro #ports-audio #ports-benchmarks #ports-biology #ports-cad #ports-chinese ports-comms ports-converters ports-databases ports-deskutils ports-devel ports-dns ports-editors ports-emulators #ports-finance #ports-french ports-ftp #ports-games #ports-german #ports-graphics #ports-hebrew #ports-hungarian #ports-irc #ports-japanese ports-java #ports-korean ports-lang ports-mail ports-math #ports-mbone ports-misc #ports-multimedia ports-net #ports-news #ports-palm #ports-picobsd #ports-polish #ports-portuguese ports-print #ports-russian #ports-science ports-security ports-shells ports-sysutils ports-textproc #ports-ukrainian #ports-vietnamese ports-www #ports-x11 #ports-x11-clocks #ports-x11-fm #ports-x11-fonts #ports-x11-servers #ports-x11-toolkits #ports-x11-wm 改完存盘,然后更新 ports tree Code: [Copy to clipboard] cvsup -g -L 2 /usr/cvsup/ports-supfile 好,再去看会儿 China Open 吧,赫赫 更新系统源码 编辑 supfile Code: [Copy to clipboard] ee /usr/cvsup/standard-supfile 有两个地方要改: Code: [Copy to clipboard] *default host=cvsup3.cn.freebsd.org *default release=cvs tag=RELENG_5_2_1_RELEASE 注意:原文件中的 cvs tag 是一个点,一定要改了它(偶就曾因为忘记改这行,结果更新到了6.*,暴汗~~~~),特别是用current分支的朋友,并且一定要改对,可以去这个网页查 cvs tag: http://www.freebsd.org/cgi/cvsweb.cgi/src/ 定制内核 这个没什么可说的了,N多教程可以看 有一点要说明,如果你没有更新过系统源码,用以下代码编辑安装新内核 Code: [Copy to clipboard] /usr/sbin/config 你的内核文件名 cd ../complie/你的内核文件名 make depend make make install 如果更新过系统源码: Code: [Copy to clipboard] cd /usr/src make buildkernel KERNCONF= 你的内核文件名 make installkernel KERNCONF=你的内核文件名 安装服务器软件 mysql Code: [Copy to clipboard] cd /usr/ports/databases/mysql4-server 因为我安装系统时将数据库单独分了一个区存放,所以我要修改一下mysql默认的数据库存放目录 Code: [Copy to clipboard] ee Makefile Code: [Copy to clipboard] DB_DIR?= 你的数据库存放目录 #CONFIGURE_TARGET那行前面的空行加上两行优化选项: BUILD_OPTIMIZED=yes BUILD_STATIC= yes 保存退出编辑。然后 Code: [Copy to clipboard] make make install clean 安装完毕后,加大mysql的最大连接数 Code: [Copy to clipboard] ee /usr/local/bin/mysqld_safe 向下寻找到第314行(4.0.20版是314行),其行很长,以“$NOHUP_NICENESS”开头,以“>> $err_log 2>&1”结尾。该行被嵌套在一个if语句里。在314这行末尾的“ >> $err_log 2>&1”前面加上“ -O max_connections=1000 ”,(注意前后各留一个空格)。 然后向下找到316行,也是很长的一行,以“eval "$NOHUP_NICENESS”开头,以“>> $err_log 2>&1”结尾。同样在“ >> $err_log 2>&1”前面加上“ -O max_connections=1000 ”。 保存退出。然后重启,此时的mysql40就是1000个并发连接的数据库了。可以用下面的方法检查一下: Code: [Copy to clipboard] cd /usr/local/bin mysqladmin -uroot -p variables 将会打出一个长列表,按scroll lock后向上卷动屏幕,能看到里面有一项显示 | max_connections | 1000 | 那么表示最大并发连接数已经修改到1000了。 修改 mysql 的 root 密码 apache 先安装openssl Code: [Copy to clipboard] cd /usr/ports/security/openssl make install clean 然后升级一下 expat2 Code: [Copy to clipboard] cd /usr/ports/textproc/expat2 make deinstall make install clean 安装 apache2 Code: [Copy to clipboard] cd /usr/ports/www/apache2 make install clean 安装 apache 的 mod fastcgi: Code: [Copy to clipboard] cd /usr/ports/www/mod_fastcgi make WITH_APACHE2=yes install clean OK,完成了。 下来是php: Code: [Copy to clipboard] cd /usr/ports/www/mod_php4 make install clean 安装后的设置: 看一下 /usr/etc/apache2 目录下面已经有几个 httpd 的设置文件了,拷一个当正式的配置文件 Code: [Copy to clipboard] cp /usr/local/etc/apache2/httpd-dist.conf /usr/local/etc/apache2/httpd.conf 然后编辑 httpd.conf Code: [Copy to clipboard] ee /usr/local/etc/apache2/httpd.conf Code: [Copy to clipboard] #增加对php的支持,在AddType application/x-gzip .gz .tgz后面加: AddType application/x-httpd-php .php AddType application/x-httpd-php-source .phps #随后设置网站默认启动页允许为index.php,找到 DirectoryIndex这行,改为: DirectoryIndex index.html index.htm index.php index.html.var #再设置apache默认字符集为简体中文。找到 AddDefaultCharset 改成: AddDefaultCharset GB2312 #另外,一个访问量较大的网站,apache默认的150连接肯定是不行的。以下各行改为: StartServers 10 MinSpareServers 10 MaxSpareServers 15 ServerLimit 2000 MaxClients 1500 MaxRequestsPerChild 10000 最后,要在服务器启动时自动启动 apache,需要编辑 /etc/rc.conf Code: [Copy to clipboard] ee /etc/rc.conf 加入以下两行: Code: [Copy to clipboard] apache2_enable="YES" apache2ssl_enable="YES" 这时候,你可以用以下命令来试着启动 apache Code: [Copy to clipboard] /usr/local/etc/rc.d/apache2.sh start =============================================== 如果提示说 ssl.conf 配置文件某行有错,server.crt 证书文件不存在的话,那么恭喜你,跟我一样中奖了,我不知道这是否是 apache2 port的一个bug,总之这样安装完的apache+mod_ssl 是没有服务器证书的,apache2启动失败了,我们需要手工来签属一个可用的证书 先下载一下证书生成程序:http://www.openssl.org/contrib/ssl.ca-0.1.tar.gz 然后: Code: [Copy to clipboard] tar zxvf ssl.ca-0.1.tar.gz cd ssl.ca-0.1 ./new-root-ca.sh ./new-server-cert.sh server ./sign-server-cert.sh server 我只写了相关的命令,后面三个命令执行时会有一系列的问题需要回答:密码、省份、城市、机构 。。。。有够烦的,自己看着办吧,赫赫 不过友情提示一下:./new-server-cert.sh server 的时候,commonName 最好设成跟你的 ServerName 一样,不然 apache 启动中会生成错误日志。 好了,然后到 /usr/local/etc/apache2 目录下面建两个目录来存放刚才生成的 crt 和 key 文件 Code: [Copy to clipboard] mkdir ssl_crt mkdir ssl_key 然后将刚才生成的四个文件放到新目录下面,再修改属性,以策安全 Code: [Copy to clipboard] cp ca.crt /usr/local/etc/apache2/ssl_crt cp ca.key /usr/local/etc/apache2/ssl_key cp server.crt /usr/local/etc/apache2/ssl_crt cp server.key /usr/local/etc/apache2/ssl_key cd /usr/local/etc/apache2/ssl_key chmod 444 server.key chmod 444 server.key cd /usr/local/etc/apache2/ssl_crt chmod 444 server.crt chmod 444 server.crt OK,搞定,现在启动 apache2 应该没有问题了 pure_ftpd 安装没什么可说的: Code: [Copy to clipboard] cd /usr/ports/ftp/pure-ftpd make WITH_MYSQL=1\ WITH_LANG=simplified-chinese\ install clean #WITH_MYSQL=1 这个配置项是为了使用 mysql 作 pure-ftpd 的帐户管理 接下去修改配置文件: 先去拷一个sample来 Code: [Copy to clipboard] cd /usr/local/etc cp pure-ftpd.conf.sample pure-ftpd.conf 编辑: Code: [Copy to clipboard] ee pure-ftpd.conf 以下是 pure-ftpd.conf 的翻译版,E文不行的自己看吧,赫赫 Code: [Copy to clipboard] ############################################################ # # # Configuration file for pure-ftpd wrappers # # # ############################################################ # 如果你想要使用配置文件代替命令行选项来运行 Pure-FTPd ,请运行下面的命令: # # /usr/local/pureftpd/sbin/pure-config.pl /usr/local/pureftpd/etc/pure-ftpd.conf # # RPM 缺省使用另外一个配置文件: # /etc/sysconfig/pure-ftpd # # 请不要忘了浏览一下 http://www.pureftpd.org/documentation.html 的 # 文档,查看全部的选项列表。 # 限制所有用户在其主目录中 ChrootEveryone yes # 如果前一个指令被设置为了 "no",下面组的成员(GID)就不受主目录的限制了。而其他的用户还是 # 会被限制在自己的主目录里。如果你不想把任何用户限制在自己的主目录里,只要注释掉 ChrootEveryone # 和 TrustedGID 就可以了。 # TrustedGID 100 # 兼容ie等比较非正规化的ftp客户端 BrokenClientsCompatibility no # 服务器总共允许同时连接的最大用户数 MaxClientsNumber 50 # 做为守护(doemon)进程运行(Fork in background) Daemonize yes # 同一IP允许同时连接的用户数(Maximum number of sim clients with the same IP address) MaxClientsPerIP 8 # 如果你要记录所有的客户命令,设置这个指令为 "yes"。 # This directive can be duplicated to also log server responses. VerboseLog no # 即使客户端没有发送 '-a' 选项也列出隐藏文件( dot-files 。 DisplayDotFiles yes # 不允许认证用户 - 仅作为一个公共的匿名FTP。 AnonymousOnly no # 不允许匿名连接,仅允许认证用户使用。 NoAnonymous no # Syslog facility (auth, authpriv, daemon, ftp, security, user, local*) # 缺省的功能( facility 是 "ftp"。 "none" 将禁止日志。 SyslogFacility ftp # 定制用户登陆后的显示信息(Display fortune cookies) # FortunesFile /usr/share/fortune/zippy # 在日志文件中不解析主机名。日志没那么详细的话,就使用更少的带宽。在一个访问量很大 # 的站点中,设置这个指令为 "yes" ,如果你没有一个能工作的DNS的话。 DontResolve yes # 客户端允许的最大的空闲时间(分钟,缺省15分钟) MaxIdleTime 15 # LDAP 配置文件 (参考 README.LDAP) # LDAPConfigFile /etc/pureftpd-ldap.conf # MySQL 配置文件 (参考 README.MySQL) # MySQLConfigFile /etc/pureftpd-mysql.conf # Postgres 配置文件 (参考 README.PGSQL) # PGSQLConfigFile /etc/pureftpd-pgsql.conf # PureDB 用户数据库 (参考 README.Virtual-Users) # PureDB /etc/pureftpd.pdb # pure-authd 的socket 路径(参考 README.Authentication-Modules) # ExtAuth /var/run/ftpd.sock # 如果你要启用 PAM 认证方式, 去掉下面行的注释。 # PAMAuthentication yes # 如果你要启用 简单的 Unix系统 认证方式(/etc/passwd), 去掉下面行的注释。 # UnixAuthentication yes # 请注意,LDAPConfigFile, MySQLConfigFile, PAMAuthentication 和 # UnixAuthentication 这些指令只能被使用一次,不过,他们能被混合在一起用。例如:如果你使用了 # MySQLConfigFile 和 UnixAuthentication,那么 SQL 服务器将被访问。如果因为用户名未找 # 到而使 SQL 认证失败的话,就会在/etc/passwd 和 /etc/shadow 中尝试另外一种认证,如果因 # 为密码错误而使 SQL 认证失败的话,认证就会在此结束了。认证方式由它们被给出来的顺序而被链 # 接了起来。 # 'ls' 命令的递归限制。第一个参数给出文件显示的最大数目。第二个参数给出最大的子目录深度。 LimitRecursion 2000 8 # 允许匿名用户创建新目录? AnonymousCanCreateDirs no # 如果系统被 loaded 超过下面的值,匿名用户会被禁止下载。 MaxLoad 4 # 被动连接响应的端口范围。- for firewalling. # PassivePortRange 30000 50000 # 强制一个IP地址使用被动响应( PASV/EPSV/SPSV replies)。 - for NAT. # Symbolic host names are also accepted for gateways with dynamic IP # addresses. # ForcePassiveIP 192.168.0.1 # 匿名用户的上传/下载的比率。 # AnonymousRatio 1 10 # 所有用户的上传/下载的比率。 # This directive superscedes the previous one. # UserRatio 1 10 # 不接受所有者为 "ftp" 的文件的下载。例如:那些匿名用户上传后未被本地管理员验证的文件。 AntiWarez yes # 服务监听的IP 地址和端口。(缺省是所有IP地址和21端口) # Bind 127.0.0.1,21 # 匿名用户的最大带宽(KB/s)。 # AnonymousBandwidth 8 # 所有用户的最大带宽(KB/s),包括匿名用户。 # Use AnonymousBandwidth *or* UserBandwidth, both makes no sense. # UserBandwidth 8 # 新建目录及文件的属性掩码值。<文件掩码>:<目录掩码> . # 177:077 if you feel paranoid. Umask 133:022 # 认证用户允许登陆的最小组ID(UID) 。 MinUID 100 # 仅允许认证用户进行 FXP 传输。 AllowUserFXP yes # 对匿名用户和非匿名用户允许进行匿名 FXP 传输。 AllowAnonymousFXP no # 用户不能删除和写点文件(文件名以 '.' 开头的文件),即使用户是文件的所有者也不行。 # 如果 TrustedGID 指令是 enabled ,文件所属组用户能够访问点文件(dot-files)。 ProhibitDotFilesWrite no # 禁止读点文件(文件名以 '.' 开头的文件) (.history, .ssh...) ProhibitDotFilesRead no # 永不覆盖文件。当上传的文件,其文件名已经存在时,自动重命名,如: file.1, file.2, file.3, ... AutoRename no # 不接受匿名用户上传新文件( no = 允许上传) AnonymousCantUpload no # 仅允许来自以下IP地址的非匿名用户连接。你可以使用这个指令来打开几个公网IP来提供匿名FTP, # 而保留一个私有的防火墙保护的IP来进行远程管理。你还可以只允许一内网地址进行认证,而在另外 # 一个IP上提供纯匿名的FTP服务。 #TrustedIP 10.1.1.1 # 如果你要为日志每一行添加 PID 去掉下面行的注释。 # LogPID yes # 使用类似于Apache的格式创建一个额外的日志文件,如: # fw.c9x.org - jedi [13/Dec/1975:19:36:39] "GET /ftp/linux.tar.bz2" 200 21809338 # 这个日志文件能被 www 流量分析器处理。 # AltLog clf:/var/log/pureftpd.log # 使用优化过的格式为统计报告创建一个额外的日志文件。 # AltLog stats:/var/log/pureftpd.log # 使用标准的W3C格式创建一个额外的日志文件。(与大部分的商业日志分析器兼容) # AltLog w3c:/var/log/pureftpd.log # 不接受 CHMOD 命令。用户不能更改他们文件的属性。 # NoChmod yes # 允许用户恢复和上传文件,却不允许删除他们。 # KeepAllFiles yes # 用户主目录不存在的话,自动创建。 # CreateHomeDir yes # 启用虚拟的磁盘限额。第一个数字是最大的文件数。 # 第二个数字是最大的总的文件大小(单位:Mb)。 # 所以,1000:10 就限制每一个用户只能使用 1000 个文件,共10Mb。 # Quota 1000:10 # 如果你的 pure-ftpd 编译时加入了独立服务器( standalone 支持,你能够改变 pid 文件 # 的位置。缺省位置是 /var/run/pure-ftpd.pid 。 # PIDFile /var/run/pure-ftpd.pid # 如果你的 pure-ftpd 编译时加入了 pure-uploadscript 支持,这个指令将会使 pure-ftpd # 发送关于新上传的情况信息到 /var/run/pure-ftpd.upload.pipe,这样 pure-uploadscript # 就能读然后调用一个脚本去处理新的上传。 # CallUploadScript yes # 这个选项对允许匿名上传的服务器是有用的。当 /var/ftp 在 /var 里时,需要保留一定磁盘空间 # 来保护日志文件。当所在磁盘分区使用超过百分之 X 时,将不在接受新的上传。 MaxDiskUsage 99 # 如果你不想要你的用户重命名文件的话,就设置为 'yes' 。 # NoRename yes # 是 'customer proof' : 工作区(workaround)反对普通的客户错误,类似于:'chmod 0 public_html' 的错误。 # 那是一个有效的命令,不过,将导致无知的客户所定他们自己的文件,将使你的技术支持忙于愚蠢的的问题中。 # 如果你确信你所有的用户都有基本的Unix知识的话,这个特性将没什么用了。不过,如果你是一个主机提供商 # 的话,启用它。 CustomerProof yes # 每一个用户的并发限制。只有在添加了 --with-peruserlimits 编译选项进行编译后,这个指令才起 # 作用。(大部分的二进制的发布版本就是例子) # 格式是 : <每一个用户最大允许的进程>:<最大的匿名用户进程> # 例如: 3:20 意思是同一个认证用户最大可以有3个同时活动的进程。而且同时最多只能有20个匿名用户进程。 # PerUserLimits 3:20 然后增加一个系统用户组和用户 Code: [Copy to clipboard] pw groupadd ftpusers –g 2000 pw useradd ftp -u 2000 -g ftpusers -s /sbin/nologin 接下去整合 mysql 和 pure-ftpd: 先去下载一个 php 的 pure-ftpd 帐号管理程序:http://www.solariz.de/scripts.solariz 解包后进入程序目录,我们需要它的 pureftpd-mysql.conf Code: [Copy to clipboard] cp pureftpd-mysql.conf.sample /usr/local/etc/pureftpd-mysql.conf OK,接下去建立 pure-ftpd 的 mysql 数据库,为了安全,我们将新建一个 mysql 用户,专门操作这个用户数据库,先打开 php-manager 的 readme 文件,里面有数据表的结构 先登录 mysql Code: [Copy to clipboard] mysql -u root -p 然后在 mysql 里的操作: Code: [Copy to clipboard] create database 你想要的pureftpd数据库名称; #建立数据库 select 你建的数据库名; 不要退出 mysql,接下去按照 php_manager 的 readme 文件中的数据表结构建立数据库 Code: [Copy to clipboard] DROP TABLE IF EXISTS ftpd; CREATE TABLE ftpd ( User varchar(16) NOT NULL default '', status enum('0','1') NOT NULL default '0', Password varchar(64) NOT NULL default '', Uid varchar(11) NOT NULL default '-1', Gid varchar(11) NOT NULL default '-1', Dir varchar(128) NOT NULL default '', ULBandwidth smallint(5) NOT NULL default '0', DLBandwidth smallint(5) NOT NULL default '0', comment tinytext NOT NULL, ipaccess varchar(15) NOT NULL default '*', QuotaSize smallint(5) NOT NULL default '0', QuotaFiles int(11) NOT NULL default 0, PRIMARY KEY (User), UNIQUE KEY User (User) ) TYPE=MyISAM; 操作未结束,请别退出mysql 注意:因为不确定php_manager升级时数据表结构是否会跟着改动,请一定按照你下载的php_manager的readme里面的数据表结构建表。 接下去建立一个新的mysql用户操作 pureftpd的用户数据库 Code: [Copy to clipboard] grant all privileges on 你刚建立的数据库名称.* to 你要建的mysql用户名称@localhost identified by 'mysql新用户密码' 接下去要编辑 pureftp-mysql.conf 以实现 pureftpd 和 mysql 整合 Code: [Copy to clipboard] ee /usr/local/etc/pureftpd-mysql.conf Code: [Copy to clipboard] MYSQLUser 你刚才在 mysql 里建的新用户名称 MYSQLPassword 你刚才在mysql 里建的新用户密码 MYSQLDatabase 你建立的 pureftpd 用户数据库名称 然后,编辑 php_manager 的 config 文件,这个比较简单,不说了 最后,实现 pure ftpd的自动启动,需要编辑 rc.conf Code: [Copy to clipboard] ee /etc/rc.conf 加一行 Code: [Copy to clipboard] pureftpd-enable="YES" ============================================= 这篇东西是我学习配置 FreeBSD web server 的笔记,并不是完全原创的,其中有一些内容来自网上已经有的教程,有些直接拿来用,有些根据自己的需要进行了修改。