今日のことなんですが、運用しているWebサービスに集中したアクセスがあって繋がりづらい自体に陥ってしまいました（SSHすらも） psコマンドで確認したところhttpdプロセスがメモリをもりもり使っててメモリリーク（メモリリークとは違うけど、まあ今回はそう呼ぶ）していたようで、これはよくないとApacheのチューニングを行ったのでその内容を記事にしておきます。 なにをしたか httpdプロセスが立ち上がりすぎてメモリが溢れないよう、立ち上がるプロセス量を調整しました。 ↓この記事を参考にチューニングしました。 ・Apacheをデフォルト設定のままで使っていませんか？ Apacheに割り当て可能なメモリ量を調べる 参考記事では「OS起動直後にfreeコマンドを打てばわかるよ」というような事を言っていましたが、現在サービス運用中で再起動はしたくないので以下の方法で割り当て量を出しました。 a，V

AWSアドバンスドコンサルティングパートナーの一員として活動する株式会社スタイルズが、AWS導入、移行、開発、セキュリティ、運用保守など、すべてのご相談に乗らせていただきます。 AWSを導入したいが何から始めたらいいかわからない 既存のベンダーが新技術に弱く、良い提案がもらえない クラウドの導入にセキュリティの不安がある AWSをとりあえず導入したが、さらに活用していきたい 社内にAWSの知見を持っている人がいない AWSならではのシステム開発を詳しく知りたい

リバースプロキシ／ロードバランサ配下のApache HTTP Server（以降、単にhttpdと記す）ではmod_rpafというモジュールを使用すると、アクセス元のIPアドレスを正しく取得して、そのIPアドレスでログに出力したり、アクセス制御を行ったりすることができるようになります。 今回の記事の前半ではこのmod_rpafについてインストール方法や設定方法について説明します。 後半ではmod_rpafを使ってもアクセス制御ができない問題が発生して、それを解決した経緯などを紹介します。具体的にはロードバランサとしてAmazon Elastic Load Balancingを、プロキシサーバとしてnginxを、バックエンドサーバとしてAmazon Linux 2011.09のhttpdを使ったときにアクセス元IPアドレスによるアクセス制御がうまくできない問題が発生しました。このあたりにご興

photo credit: sake028 Tomcatが発行するHTTPレスポンスに含まれるSet-CookieヘッダのPathパラメータを、mod_proxy側で修正してWebブラウザに転送する方法をメモ。 以下のページを参考にさせていただきました。ありがとうございます！ もじゃの日記: サーブレットコンテナ（Tomcat）とリバースプロクシを組み合わせた時の問題解決 設定方法 ブラウザが受け取るSet-CookieヘッダのPathパラメータの値を、

人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 これまでのApache2.2系以前でのアクセス制御の書き方は賛否両論でした。僕はあまり好きじゃありませんでした。 過去のアクセス制御に関しては、以下の記事がとてもわかりやすくまとめられていると思います。 こせきの技術日記 – Apacheのアクセス制御をちゃんと理解する。 ここで、以下のように言及されています。 こんなバッドノウハウ、本当はどうでもいいと思う。Apache 3.0では、かっこいいDSL(VCL)で書けるようにする構想があるらしいのでがんばってほしい。 ということで、2.4系ではDSLとはいかないまでも、Require*というディレクティブを使ったモダンな書き方ができるようになったので、それを2.2系以前のアクセス制御の記述と比

人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 最近、各所でApacheのVirtualHostを利用した高集積ホスティングのセキュリティに関するインシデントが起きています。僕自身、自分の専門の一つがWebサーバのセキュリティなので、他人事には思えず、毎日各所の経過情報を眺めています。また、数社からApacheのセキュリティに関してもいくつか質問を受けたりしており、公に話せるような内容はこのブログでも公開していきたいと思います。 ということで、ApacheのVirtualHostによる高集積Webホスティングにおけるsymlink問題を根本解決するにはどうしたら良いのかを考えました。まずは、静的コンテンツも動的コンテンツのようにファイルのユーザ権限で処理する方法から紹介します。その後、ホス

ざっくり概要 ピークで3000req / sec 毎分コンテンツ更新要求 コンテンツ更新の際は他所からデータをapi経由で受け取る コンテンツ更新にはTheSchwartzを使用 なコンテンツを色々してきたログ。 尚、ここに書く技術は大半が周囲のギークな方々にサポートしてもらったもので、僕自身が何かしたわけではない。残念すぎる。 構成 internet -> www(squid -> apache) -> app(memcached -> app) -> db フロントエンド wwwサーバがapacheとsquidを動かしている。apacheがリクエストを受け、squidのキャッシュが有ればそれを返し、無ければバックエンドのappサーバへproxy。 バックエンド appサーバがmemcachedとアプリを動かしている。 それぞれ冗長化してるけど、リクエスト数の割に台数は少ない。 技術があ

KLab Advent Calendar 2011 「DSAS for Social を支える技術」の9日目です。 前回は php を動かしている Apache の手前にリバースプロキシを 置く必要性を解説しました。 今日は、 その前の php のプロセス数を絞る設定と合わせて、実際に Apache で 設定する方法を紹介します。 以降、 php を動かしている Apache の事をアプリサーバー、リバースプロキシ＋ 静的ファイル配信を行っている Apache の事をプロキシサーバーと呼びます。 基本設定 まずは基本的な設定のおさらいです。 アプリサーバー 並列数を絞るには MaxClients を設定します。アプリがどれくらいの時間を CPUの処理で使って、どのくらいの時間を外部リソース待ちに使っているかにも よりますが、だいたいCPU数の1.5倍〜2倍くらいが適当だと思います。 Hyp

KLab Advent Calendar 2011 「DSAS for Social を支える技術」の8日目です。 前回は php のプロセス数を絞ることのメリットを解説しました。 プロセス数を絞るには FPM を使うなどの方法もありますが、 DSAS for Social では php は Apache + mod_php を使っていて、 それにリバースプロキシを組み合わせて利用しています。 今日はこのリバースプロキシの役割を説明して行きます。 以降、リバースプロキシのことを単にプロキシと呼びます。 プロキシを使う理由 そもそも、なぜプロキシを使うのかを説明しておきます。 5秒ルール ケータイ向けのソーシャルアプリでは、ユーザーからのリクエストは 一旦プラットフォームのサーバーを経由して、アプリを提供している Webサーバーに到達します。 このとき、アプリ側のレスポンスがあまりに遅いとプ

mod_rewriteでの最後の砦 - As a Futurist...をみて、僕もApacheでURLに%2Fを含むリクエストをリバースプロキシするときに困ったことがあったなーというのを思い出した。 AllowEncodedSlashes On RewriteRule ^/(.*)$ http://backend/$1 [QSA,L,P]みたいな設定を書いてるときにfrontendに http://frontend/keyword/Fate%2Fstay+nightなリクエストが来ると、この設定だとbackendには http://backend/keyword/Fate/stay+night%2FがデコードされたURLにプロキシしてしまう！ %2Fのままプロキシするには以下のように設定をすればよい。 AllowEncodedSlashes On RewriteCond %{THE_RE

遭遇しない人は一生遭遇しないであろう症状 # httpd -X とかやって apache を起動、終了を繰り返していると、そのうち、 [Mon Feb 09 17:54:50 2009] [crit] (28)No space left on device: mod_rewrite: could not create rewrite_log_lock Configuration Failed というメッセージをエラーログに吐いて、httpd が起動してすぐ終了してしまう（起動してない）という症状が出るようになる。 # ipcs -s ------ Semaphore Arrays -------- key semid owner perms nsems 0x00000000 11272192 daemon 600 1 0x00000000 11304961 daemon 600 1 ...

「/proc/(pid)/status」のメモリサイズからメモリ消費量をリストアップするスクリプトを準備した。 「サーバ／インフラを支える技術」に載っている、id:naoyaさんの共有しているメモリのサイズを計算するスクリプトとあわせて、エクセルに落とし込んでごにょごにょと計測してみる。 http://d.hatena.ne.jp/naoya/20080212/1202830671 http://archive.linux.or.jp/JM/html/LDP_man-pages/man5/proc.5.html [www]~ $ cat memory_size.sh #!/bin/sh GREP="/bin/grep" AWK="/bin/awk" PRINTF="/usr/bin/printf" if [ $# -lt 1 ]; then echo "usage: ${0} [pid .

フックの順番はてきとう(処理順ではない)です。(あとで気が向いたら直します。) ↑なるべく順番になるように直してみた。けど順番は無保証にしときます。 あとたぶん標準のモジュールだけのはずだけどなんかが紛れ込んでるかも。 これの出しかたはエントリ下に書いておきます。 hook source file pre_config mod_logio.c mod_log_config.c prefork.c mod_rewrite.c mod_headers.c mod_dbd.c mod_proxy.c test_config mod_so.c open_logs prefork.c core.c mod_log_config.c post_config mod_include.c mod_cgi.c core.c mod_ext_filter.c mod_headers.c mod_proxy.c

DSAS開発者の部屋:[補足記事]Apache 2.0 の hook 一覧(apache module 開発事初め その3-3) はモジュールを書く際にどこにフックをしかけるかという点で非常に参考になります。 が，いまだにいまいち Apache からどのように呼び出されるか実感がわきません。ひょっとしてフックの呼び出し方を調べると Apache の処理フローを追っていけるんじゃないか，という無謀な挑戦をしてみました。 対象 前提条件 Apache のモジュールを書いたことがある人; 最低限 ap_hook_handler フックを使ったことがある人 調査対象 Apache 2.2.3 のソース*1 なお，以下に記したソースは，実際のソースの引用ではなく，おもにフックを呼び出している部分のみの抜粋となります。またロジックを損なわない程度に書き換えた部分もあります。さらには引数や戻り値について

(この記事は Ruby Advent Calendar jp: 2010 : ATND の9日目です。前日は niku さんでした。) はじめに Apacheの設定ファイルを各web/apサーバに反映させるCapistranoタスクを作成しましたので展開。 作成した経緯はApacheの設定を頻繁に更新する必要がある案件で手軽に反映できる方法が欲しかったため。 何十台ものサーバ設定をこなす場合にはPuppetなりChefなりを使用するべきと思うけど、1〜2台程度で構成されるシステムの場合には大げさなんで。 前提 ミドルウェア等 以下の前提でタスクを組んでます。 OS:CentOS5 SCM:Subversion Web:Apache2.2 (/etc/httpd/conf.d/*.confのファイルを自動読み込みする ※デフォルト設定) なお、Capistranoについての説明、設定は割愛し

Redhat系のディストリビューションでは、もう普通にSELinuxがenableというかenforcingの状態になってるケースが多いと思うのですけれども、そういう環境で、一般ユーザのホームディレクトリ以下でpublic_html以外のところにコンテンツを置いて参照させようとすると、403(Forbidden)になることがあります。 デバッグしようとしてapache httpdを /usr/sbin/httpd -X とかで起動すると、今度はＯＫ。こうなったら、SELinuxの設定が抜けていることが多いです。 こういうことは自分はしょっちゅうですけど、そうなると対処にも慣れます。というか、設定手順の一部とすべきなんでしょう。 以下：参考 Dan WalshによるSELinux初心者向け記事 上記をちょっと訳してみたもの 手順としては １）httpdの設定ファイルを修正して、Aliasディ