シンボリックリンクに従う | シンボリックリンクを確認する | 厳格な所有権チェックを強制する | 必要な許可マスク | 制限付き許可マスク | スクリプトのアクセス許可マスクの制限 | スクリプトディレクトリのアクセス許可マスクの制限 |
静的リクエスト/秒 | 動的リクエスト/秒 | 送信帯域幅(バイト/秒) | 受信帯域幅(バイト/秒) | 接続ソフトリミット | 接続ハードリミット | 不良リクエストをブロックする | 猶予期間(秒) | 禁止期間(秒) |
CGIデーモンソケット | 最大CGIインスタンス | 最小UID | 最小GID | 強制GID | umask | CGI プライオリティ | CPUソフトリミット(秒) | CPUハードリミット | メモリソフトリミット(バイト) | メモリハードリミット | プロセスソフトリミット | プロセスハードリミット |
説明 静的ファイルを提供する際のシンボリックリンクのサーバーレベルのデフォルト設定を指定します。 |
構文 ドロップダウンリストから選択 |
ヒント [パフォーマンスとセキュリティ]最高のセキュリティを実現するには、いいえまたは{Owner}が一致する場合を選択します。 最高のパフォーマンスを得るには、はいを選択します。 |
参照 |
説明 シンボリックリンクに従うがオンになっているときに、アクセスが拒否されたディレクトリに対するシンボリックリンクをチェックするかどうかを指定します。 有効にすると、URLで参照されるリソースのカノニカル実パスが、設定可能なアクセス拒否ディレクトリと照合されます。 アクセスが拒否されたディレクトリ内にある場合、アクセスは拒否されます。 |
構文 ラジオボックスから選択 |
ヒント [パフォーマンス & セキュリティ]最高のセキュリティを実現するには、このオプションを有効にします。 最高のパフォーマンスを得るには、無効にしてください。 |
参照 |
説明 厳密なファイル所有権チェックを実施するかどうかを指定します。 有効になっている場合、Webサーバーは、提供されるファイルの所有者がバーチャルホストの所有者と同じかどうかをチェックします。 異なる場合は、403アクセス拒否エラーが返されます。 これはデフォルトではオフになっています。 |
構文 ラジオボックスから選択 |
ヒント [セキュリティ]共有ホスティングの場合、このチェックを有効にしてセキュリティを強化します。 |
説明 サーバーが提供する静的ファイルに必要なアクセス許可マスクを指定します。 たとえば、全員が読み取り可能なファイルのみを処理できる場合は、値を0004に設定します。 すべての値についてman 2 statを参照してください |
構文 8進数 |
参照 |
説明 サーバーが提供しない静的ファイルに対する制限付きのアクセス許可マスクを指定します。 たとえば、実行可能ファイルの配信を禁止するには、マスクを0111に設定します。 |
構文 8進数 |
参照 |
説明 サーバーが提供しないスクリプトファイルに対する制限付きアクセス許可マスクを指定します。 たとえば、グループおよびワールド書き込み可能なPHPスクリプトの配信を禁止するには、マスクを022に設定します。 デフォルト値は000です。 |
構文 8進数 |
参照 |
説明 Sサーバーが提供しないスクリプトファイルの親ディレクトリの制限付きアクセス許可マスクを指定します。 たとえば、グループおよびワールド書き込み可能なディレクトリでPHPスクリプトを処理することを禁止するには、マスクを022に設定します。 デフォルト値は000です。 このオプションを使用して、アップロードされたファイルのディレクトリ下でスクリプトを提供しないようにすることができます。 |
構文 8進数 |
参照 |
説明 確立された接続の数に関係なく、1秒間に処理できる単一のIPアドレスからの静的コンテンツへの要求の最大数を指定します。 |
構文 整数 |
ヒント [セキュリティ]信頼できるIPまたはサブネットワークは影響を受けません。 |
参照 |
説明 確立された接続の数に関係なく、1秒ごとに処理できる単一のIPアドレスからの動的に生成されるコンテンツへの要求の最大数を指定します。 この制限に達すると、今後のすべての動的コンテンツへのリクエストは、次の秒までタールピットされます。 |
構文 整数 |
ヒント [セキュリティ]この制限によって、信頼できるIPまたはサブネットワークは制限されません。 |
参照 |
説明 確立された接続の数に関係なく、単一のIPアドレスへの最大の送信スループット。 実際の帯域幅は効率上の理由からこの設定よりわずかに高くなることがあります。 帯域幅は4KB単位で割り当てられます。 スロットルを無効にするには、0に設定します。 クライアント単位の帯域幅制限(バイト/秒)は、バーチャルホストレベルの設定がサーバーレベルの設定を上回るサーバーまたはバーチャルホストレベルで設定できます。 |
構文 整数 |
ヒント [パフォーマンス]パフォーマンスを向上させるため、帯域幅を8KB単位で設定します。. |
参照 |
説明 確立された接続の数に関係なく、単一のIPアドレスからの最大許容着信スループット。 実際の帯域幅は効率上の理由からこの設定よりわずかに高くなることがあります。 帯域幅は1KB単位で割り当てられます。 スロットルを無効にするには、0に設定します。 クライアント単位の帯域幅制限(バイト/秒)は、バーチャルホストレベルの設定がサーバーレベルの設定を上回るサーバーまたはバーチャルホストレベルで設定できます。 |
構文 整数 |
ヒント [セキュリティ]信頼できるIPまたはサブネットワークは影響を受けません。 |
参照 |
説明 1つのIPから許可される同時接続のソフト制限を指定します。 このソフトリミットは、猶予期間(秒)の間に接続ハードリミット以下になると一時的に超過することができますが、接続の数が限界よりも少なくなるまで、キープアライブ接続はできるだけ早く閉じられます。 猶予期間(秒)の後に接続数がまだ制限を超えている場合、そのIPは禁止期間(秒)でブロックされます。 |
構文 整数 |
ヒント [セキュリティ]数字が小さいほど、より明確なクライアントに対応できます。 |
説明 単一のIPアドレスから同時に許可される接続の最大数を指定します。 この制限は常に強制され、クライアントはこの制限を超えることはできません。 HTTP/1.0クライアントは通常、埋め込みコンテンツを同時にダウンロードするのに必要な数の接続を設定しようとします。 この制限は、HTTP/1.0クライアントが引き続きサイトにアクセスできるように十分に高く設定する必要があります。 接続ソフトリミットを使用して、目的の接続制限を設定します。 |
構文 整数 |
ヒント [セキュリティ]数字が小さいほど、より明確なクライアントに対応できます。 |
説明 禁止期間(秒)に不正な形式のHTTP要求を送信し続けるIPをブロックします。 デフォルトははいです。 これは、ジャンク要求を繰り返し送信するボットネット攻撃をブロックするのに役立ちます。 |
構文 ラジオボックスから選択 |
説明 1つのIPから確立された接続の数が接続ソフトリミットを超えた後に新しい接続が受け入れられる期間を指定します。 この期間内に、総接続数が接続ハードリミット未満の場合は、新しい接続が受け入れられます。 この期間が経過した後、まだ接続数が接続ソフトリミットよりも高い場合、問題のIPは禁止期間(秒)でブロックされます。 |
構文 整数 |
ヒント [パフォーマンス & セキュリティ]ダウンロードに十分な大きさに設定してください。 完全なページですが、故意の攻撃を防ぐのに十分な低さです。 |
説明 猶予期間(秒)経過後、接続数がまだ接続ソフトリミット以上の場合、新しい接続がIPから拒否される期間を指定します。 IPが繰り返し禁止されている場合は、禁止期間を延長して虐待のペナルティを強化することをお勧めします。 |
構文 整数 |
説明 CGIデーモンとの通信に使用される一意のソケットアドレス。 LiteSpeedサーバーは、スタンドアロンのCGIデーモンを使用して、最高のパフォーマンスとセキュリティを実現するCGIスクリプトを生成します。 デフォルトソケットはuds://$SERVER_ROOT/admin/conf/.cgid.sock "です。 別の場所に配置する必要がある場合は、ここにUnixドメインソケットを指定します。 |
構文 UDS://path |
例 UDS://tmp/lshttpd/cgid.sock |
説明 サーバーが開始できる同時CGIプロセスの最大数を指定します。 CGIスクリプトに対する各要求に対して、サーバーはスタンドアロンCGIプロセスを開始する必要があります。 Unixシステムでは、並行プロセスの数が制限されています。 過度の並行処理は、システム全体のパフォーマンスを低下させ、DoS攻撃を実行する1つの方法です。 LiteSpeedサーバーはCGIスクリプトへの要求をパイプライン処理し、同時のCGIプロセスを制限して最適なパフォーマンスと信頼性を確保します。 上限は2000です。 |
構文 整数 |
ヒント [セキュリティ & パフォーマンス]上限が高いと必ずしもパフォーマンスが向上するとは限りません。 ほとんどの場合、下限値を指定するとパフォーマンスとセキュリティが向上します。 上限は、CGI処理中にI / O待ち時間が過大になる場合にのみ役立ちます。 |
説明 外部アプリケーションの最小ユーザーIDを指定します。 ここで指定した値よりも小さいユーザーIDを持つ外部スクリプトの実行は拒否されます。 LiteSpeed Webサーバーが「root」ユーザーによって起動された場合、Apacheなどの「suEXEC」モードで外部アプリケーションを実行できます(Webサーバー以外のユーザー/グループIDに変更する)。 |
構文 整数 |
ヒント [セキュリティ]すべてのシステム/特権ユーザーを除外するのに十分な高さに設定します。 |
説明 外部アプリケーションの最小グループIDを指定します。 ここで指定した値よりも小さいグループIDを持つ外部の実行は拒否されます。 LiteSpeed Webサーバーが "root"ユーザーによって起動された場合、Apacheで見つかった "suEXEC"モードで外部アプリケーションを実行できます(Webサーバー以外のユーザー/グループIDに変更する)。 |
構文 整数 |
ヒント [セキュリティ]システムユーザーが使用するすべてのグループを除外するのに十分な高さに設定します。 |
説明 suEXECモードで起動したすべての外部アプリケーションに使用するグループIDを指定します。 ゼロ以外の値に設定すると、すべてのsuEXEC外部アプリケーション(CGI/FastCGI/LSAPI)がこのグループIDを使用します。 これにより、外部アプリケーションが他のユーザーが所有するファイルにアクセスするのを防ぐことができます。 |
構文 整数 |
ヒント [セキュリティ]システムユーザーが使用するすべてのグループを除外するのに十分な高さに設定します。 |
説明 CGIプロセスのデフォルトのumaskを設定します。 詳細は、man 2 umaskを参照してください。 これは、外部アプリケーションumaskのデフォルト値としても機能します。 |
構文 有効範囲値[000]〜[777]。 |
参照 ExtApp umask |
説明 外部アプリケーションプロセスの優先度を指定します。 値の範囲は-20〜20です。数値が小さいほど優先度が高くなります。 |
構文 int |
参照 Server プライオリティ |
説明 CGIプロセスのCPU消費制限時間を秒単位で指定します。 プロセスがソフトリミットに達すると、シグナルによって通知されます。 値が存在しない場合、または0に設定されている場合は、オペレーティングシステムのデフォルト設定が使用されます。. |
構文 整数 |
説明 CGIプロセスの最大CPU使用時間制限を秒単位で指定します。プロセスがCPU時間を消費してハードリミットに達すると、プロセスは強制終了されます。 値が存在しないか、0に設定されている場合は、オペレーティングシステムのデフォルト設定が使用されます。 |
構文 整数 |
説明 外部アプリケーション・プロセスまたはサーバーによって開始された外部アプリケーションのメモリー消費制限をバイト単位で指定します。 |
構文 整数 |
ヒント [注意]この制限を過度に調整しないでください。 アプリケーションでより多くのメモリが必要な場合は、503のエラーが発生する可能性があります。 |
説明 ソフトリミットをユーザープロセス内のハードリミットまで上げることができることを除けば、メモリソフトリミット(バイト)と同じくらい同じです。 ハード・リミットは、サーバー・レベルまたは個々の外部アプリケーション・レベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。 |
構文 整数 |
例 [注意]この制限を過度に調整しないでください。 アプリケーションでより多くのメモリが必要な場合は、503のエラーが発生する可能性があります。 |
説明 ユーザーに代わって作成できるプロセスの総数を制限します。 既存のすべてのプロセスは、開始される新しいプロセスだけでなく、この限度に対してカウントされます。 制限は、サーバーレベルまたは個々の外部アプリケーションレベルで設定できます。 |
構文 整数 |
ヒント PHPスクリプトはプロセスをフォークするために呼び出すことができます。 この制限の主な目的は、フォーク爆弾や他のプロセスを作成するPHPプロセスによって引き起こされる他の攻撃を防ぐための最終防衛線です。 |
説明 ソフトリミットをユーザープロセス内のハードリミットまで上げることができることを除けば、プロセスソフトリミットとほとんど同じです。 ハードリミットは、サーバー・レベルまたは個々の外部アプリケーションレベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。 オペレーティングシステムのデフォルト値は、値が両方のレベルにないか、0に設定されている場合に使用されます。 |
構文 整数 |
説明 アクセスをブロックするディレクトリを指定します。 重要なデータを含むディレクトリをこのリストに追加して、誤って機密ファイルをクライアントに公開しないようにします。 すべてのサブディレクトリを含めるためにパスに「*」を追加します。 シンボリックリンクに従うとシンボリックリンクを確認するの両方を有効にすると、拒否されたディレクトリに対してシンボリックリンクがチェックされます。 |
構文 ディレクトリのカンマ区切りリスト |
ヒント [セキュリティ]重要な点:この設定では、これらのディレクトリから静的ファイルを提供することができません。 これは、PHP/Ruby/CGIなどの外部スクリプトによるエクスポージャーを防ぐものではありません。 |
説明 どのサブネットワークおよび/またはIPアドレスがサーバーにアクセスできるかを指定します。 サーバレベルでは、この設定はすべてのバーチャルホストに影響します。 バーチャルホストレベルで各バーチャルホストに固有のアクセス制御を設定することもできます。 バーチャルホストレベルの設定はサーバーレベルの設定を上書きしません。 |
ヒント [セキュリティ]すべてのバーチャルホストに適用される一般的な制限については、サーバーレベルでこれを使用してください。 |
説明 許可されるIPまたはサブネットワークのリストを指定します。 *またはALLが受け入れられます。 |
構文 IPアドレスまたはサブネットワークのカンマ区切りリスト。 末尾の「T」は、192.168.1.*Tなどの信頼できるIPまたはサブネットワークを示すために使用できます。 |
例
|
ヒント [セキュリティ]サーバーレベルのアクセス制御で設定された信頼されたIPまたはサブネットワークは、接続/スロットリングの制限から除外されます。 |