Discussion :

[greg91]

Bonjour à tous,

Je cherche la meilleur méthode pour isoler les différents vhost de mon serveur.
Le but de la manœuvre est qu'une faille sur l'un des sites ne puisse avoir d'impact sur d'autres vhost et évidement le système. Un CHROOT PHP pour vhost quoi

En me renseignant, j'ai compris qu'il y avait plusieurs méthodes et ai trouvé le module MPM-itk (qui remplace MPM-prefork). Il à l'air vraiment simple à installe et configurer.

Qu'en pensez vous ? Surtout au niveau des performances.
Avez vous un retour d'expérience sur les méthodes pour isoler les Vhosts ?

[Marc3001]

Moi perso, j'utilise une instance Apache par vhost. Niveau sécu, c'est pas mal mais niveau perfs y'a beaucoup mieux....

Tout dépend du besoin....

[_Mac_]

Ca ?

[greg91]

Merci pour vos réponses

Voici le petit tours d'horizon des différentes méthodes que j'ai pu trouver.
Désolé pour la longueur, je ne fais pas d'admin système tous les jours et me sert de ce post comme aide mémoire.

Il convient de distinguer 2 choses :

1. les MPMs Apache, qui traite les requêtes entrante pour apache. Il faut en choisir un pour le serveur Apache
2. les serveurs d'API PHP (SAPI) qui relie Apache à l’interpréteur PHP. On peux utiliser différent SAPI pour chaque VHOST Apache

MPM APACHE

MPM Prefork

• MPM historique d'Apache.
• pas multi thread
• compatible avec tous les serveur d'API PHP
• c'est le seul MPM compatible avec le serveur d'API PHP mod_PHP
• il est lent et consomme des ressources
• pas de séparation de droits possible

MPM Worker

• multi thread
• rapide
• Compatible avec tous les serveur d'API PHP sauf mod_php
• MPM conseillé dans tous les cas, sauf quand mod_php est nécéssaire

MPM Itk

• similaire au MPM prefork
• pas de multi thread
• Séparation de droits possible pour les scripts

SERVEUR API PHP (SAPI)

modphp
fonctionne uniquement avec un MPM nono thread
lent
pas de séparation de droit

CGI
Suphp
Séparation possible pour les scripts PHP uniquement
Performance faible
Pas de prise en charge des caches d'opcode

Suexec
Séparation possible pour tous les scripts
Performance faible
Pas de prise en charge des caches d'opcode

FastCGI

mod_fastcgi

mod_fcgid
incompatible avec php-fpm