如果 OpenBSD 用作静态 HTTPD 服务器，如何对它进行分区？

Question

所以挂载选项很有用，因为它可以提高仅提供静态 html 文件的网络服务器的安全性。

仅用于静态 HTTPD 服务器的 az OpenBSD 5.2 的最佳挂载选项/分区方案是什么？

Answer 1

如果您担心安全性，请记住 OpenBSD 中的 httpd默认是chroot 的，这意味着万一您的 Web 服务器可能遭到入侵，攻击者将留在您的 Web 服务器的 chroot jail 中，与您的其他服务器隔离系统，从而最大限度地减少违规的影响。

就挂载选项而言，您可以挂载不应将二进制文件作为noexec执行的分区（例如，用户 /home 目录）。您还可以考虑在适用的情况下启用nosuid和nodev挂载选项。查看安装手册页以获取更多信息。

您还可以将受限 shell（例如rbash）与守护进程的 chroot jailing结合使用。