Sockets weg, nach updgrade von Jessie auf Stretch

[Exploit]

Hallo, lange habe ich es vor mich hinaus geschoben, aber nun fürht einfach kein Weg mehr drum herum, das Update von Jessie auf Stretch!

Das Update schien einwandfrei zu laufen, nur sehr wenige Fragen wurde gestellt zu manuell geänderten configs. Im Vergleich zum Update von Wheezy auf Jessie, war ich sehr positiv überrascht. Dann aber die böse Überraschung, Das Froxlor-panel war offline und alle anderen Seiten auch. Das Froxlor-panel habe ich wieder zum laufen bekommen unter mod-php und durch das löschen von allen configs in /etc/apache2/sites-enabled/ welche anfangen mit 29*, 35*, 40*, aber nur bis Froxlor sie wieder neu schreibt!

Einmal wieder im Panel drinne habe ich alle Vorlagen unter System->Konfiguration abgearbeitet.

Habe alles versucht was ich hier im Forum finden konnte, dieser Thread kommt der Sache sehr nahe:

Lösen konnte ich das Problem damit leider nicht.

Das Problem habe ich soweit identifizieren können das keine Sockets mehr erstellt werden in /var/lib/apache2/fastcgi/.

Wenn ich alle dateien die anfangen mit 29*, 35*, 40* Lösche in /etc/apache2/sites-enabled/
und in 10_froxlor_ipandport_xx.xx.xx.xx.443.conf
"/var/lib/apache2/fastcgi/1-froxlor.panel-xxlspace.net-php-fpm.socket" ändere in "/run/php/php7.0-fpm.sock"

Dann läuft nach einem Restart von Apache2 das Froxlor-Panel wieder bis der Cronjob das natürlich wieder überschreibt.

Aus irgendeinen Grund legt er nach dem Update auf Stretch einfach keine Sockets mehr an. Bin seit heute Nacht den Fehler an suchen und wüsste nicht was ich noch ausprobieren könnte.

Nebenbei wird das Verzeichnis /etc/php5/fpm/pool.d auch noch verwendet, PHP5 unter Stretch aber nicht mehr unterstützt, was ja auch wenig Sinn hätte, da es dafür keine Sicherheits-Updates mehr gibt.

Wie kann ich die Sockets in /var/lib/apache2/fastcgi/ wieder zum Leben erwecken, oder mus ich irgendwo die Pfade ändern?

[Exploit]

Gerade stelle ich fest das die Dateien Verzeichnis unter /var/lib/extrausers leer sind, ich nehme an das der Cronjob normalerweise dort alle Kunden anlegt...?

[d00p]

1) php5 <> php7 - du wirst wohl im panel deine php-config anpassen müssen (reload command und pfad zu den pool-configs)

2) libnss-extrausers: stelle sicher das du libnss-extrausers installiert hast und auch in froxlor aktiviert hast (die nutzung muss explizit aktiviert werden)

3) unter stretch MUSST du bei der verwendung von php-fpm mod_proxy verwenden, auch das muss in den einstellungen explizit aktiviert werden (froxlor kann das nicht rausfinden)

4) willst du länger ruhe und an Froxlor arbeiten können ohne das froxlor die configs neu erstellt stoppe doch ganz einfach den cron-dienst...  nur nich vergessen später wieder zu aktivieren

[Exploit]

Was muss denn für PHP7 geändert werden?

Webserver-Reload-Command: /etc/init.d/apache2 reload
ist doch OK, oder?

FastCGI IPC Verzeichnis: /var/lib/apache2/fastcgi/
drwxr-xr-x 3 www-data www-data 4.0K Apr 14 04:35 fastcgi
sollte doch gehen? Hier werden aber keine Sockets angelegt, woran könnte das liegen?

Verwende libnss-extrausers anstatt libnss-mysql: hat einen Hacken

# a2dismod
Your choices are: access_compat actions alias auth_basic authn_core authn_file authz_core authz_groupfile authz_host authz_user autoindex cgi cgid deflate dir env fcgid filter headers mime mpm_itk mpm_prefork negotiation passenger proxy proxy_fcgi python reqtimeout rewrite setenvif socache_shmcb ssl status suexec
Which module(s) do you want to disable (wildcards ok)?

Ist alles vorhanden.(?)

 

Mit php5 habe ich folgendes, wüsste aber nicht was da hin soll, die Verzeichnisse existieren schon noch...

Cron Startbefehl (php Programm): /usr/bin/nice -n 5 /usr/bin/php5 -q

Globale PEAR Verzeichnisse: /usr/share/php/:/usr/share/php5/

[d00p]

Nicht in den Einstellungen, links im Menü "PHP-FPM Versionen" und "PHP Konfiguration"

[Exploit]

Die sehen bei mir so aus:

Kurzbeschreibung:
Kommando zum Neustarten von php-fpm:
Pfad zu php-fpm-Konfigurationen:
Prozess Manager Control (PM):	dynamic

"/etc/php5/fpm/pool.d" scheint mir nur ein Name zu sein und ist egal, oder?

 

php.ini-Einstellungen:

allow_call_time_pass_reference = Off
allow_url_fopen = 1
asp_tags = Off
disable_classes =
disable_functions = exec,passthru,popen,proc_close,proc_get_status,proc_nice,proc_open,proc_terminate,shell_exec,show_source,system
display_errors = Off
display_startup_errors = Off
enable_dl = Off
error_reporting = E_ALL & ~E_NOTICE
expose_php = Off
file_uploads = On
cgi.force_redirect = 1
gpc_order = "GPC"
html_errors = Off
ignore_repeated_errors = Off
ignore_repeated_source = Off
include_path = ".:{PEAR_DIR}"
log_errors = On
log_errors_max_len = 1024
magic_quotes_gpc = Off
magic_quotes_runtime = Off
magic_quotes_sybase = Off
max_execution_time = 30
max_input_time = 60
memory_limit = 128M
{OPEN_BASEDIR_C}open_basedir = "{OPEN_BASEDIR}"
output_buffering = 4096
post_max_size = 32M
precision = 14
register_argc_argv = Off
register_globals = Off
report_memleaks = On
sendmail_path = "/usr/sbin/sendmail -t -i -f {CUSTOMER_EMAIL}"
session.auto_start = 0
session.bug_compat_42 = 0
session.bug_compat_warn = 1
session.cache_expire = 180
session.cache_limiter = nocache
session.cookie_domain =
session.cookie_lifetime = 0
session.cookie_path = /
session.entropy_file = /dev/urandom
session.entropy_length = 16
session.gc_divisor = 1000
session.gc_maxlifetime = 1440
session.gc_probability = 1
session.name = PHPSESSID
session.referer_check =
session.save_handler = files
session.save_path = "{TMP_DIR}"
session.serialize_handler = php
session.use_cookies = 1
session.use_trans_sid = 0
short_open_tag = On
suhosin.mail.protect = 1
suhosin.simulation = Off
track_errors = Off
upload_max_filesize = 32M
upload_tmp_dir = "{TMP_DIR}"
variables_order = "GPCS"

opcache.restrict_api = "{DOCUMENT_ROOT}"

 

[Exploit]

Da ging etwas schief:

Kurzbeschreibung:	System default
Kommando zum Neustarten von php-fpm:	/etc/init.d/php7.0-fpm restart
Pfad zu php-fpm-Konfigurationen:	/etc/php5/fpm/pool.d
Prozess Manager Control (PM):	dynamic

[d00p]

Joa, php7.0-fpm restart und /etc/php5 / fpm/pool.d passt wohl nicht zusammen....

[Exploit]

Da sind aber nur Dateien drinn, die von Froxlor erzeugt wurden, wass soll da passieren wenn ich den umbenenne?

Irgendwas ist aber passiert, in /var/lib/extrausers/ sind nun User angelegt worden. Diesmal hatte ich den Cronjob nach einem erneuten Error, nochmal ausgeführt und dann war die Fehlermeldung weg. Scheint also irgendwas mit der Reihenfolge gewesen zu sein.

Ein kleiner Schritt für einen Menschen, aber ein großer Sprung für einen Server zum Ether.

Jetzt muss nur noch der 503 weg.

[Exploit]

Habe jetzt /etc/php/7.0/fpm/pool.d gefunden und eingestellt, es hat wohl doch einen Unterschied gemacht, Die Seiten sind wieder online!

Keine Ahnung wie ich dieses Verzeichnis den ganzen Tag übersehen konnte, obwohl ich sogar nach so etwas gesucht hatte. Auf jeden Fall vielen Dank für die Hilfe. Die Kundenseiten sind online, nur Froxlor ist jetzt wieder weg. Wahrscheinlich läuft es noch unter mod-php. Die Häckchen liessen sich nicht ändern, waren grau mit einen hinweis das anderswo etwas konfiguriert ist, das dies nicht zulässt.

[d00p]

2 minutes ago, Exploit said:

Wahrscheinlich läuft es noch unter mod-php. Die Häckchen liessen sich nicht ändern, waren grau mit einen hinweis das anderswo etwas konfiguriert ist, das dies nicht zulässt.

Einstellungen -> Froxlor vhost Einstellungen -> Verwende PHP-FPM im Froxlor-Vhost

Wenn das nicht zu aktivieren geht ist auch PHP-FPM nicht aktiviert, das scheint mir aber bei dir nicht der Fall zu sein.

[Exploit]

Damit ist nun /run/php/php7.0-fpm.sock verschwunden, womit ich immernoch an das Froxlor-Panel heran gekommen bin, wie kann ich das am einfachsten beheben. Froxlor hat wohl kein Socket, weil es noch auf mod-php steht. einfach eine einstellung in der Datenbank ändern, oder gibt das Probleme?

[d00p]

Natürlich hat froxlor kein Socket wenn es noch unter mod_php läuft....und nein, nicht nur irgendwas in der Datenbank ändern. Aktiviere die Nutzung von fpm für den Froxlor vhost in den Einstellungen und folge den entsprechenden config templates um den entsprechenden User anzulegen etc.

[Exploit]

Dazu muss Froxlor erst mal wieder laufen, also eine php-konfiguration haben mit der es aufgerufen werden kann.

[みゆき]

Du kannst das auch in der SQL direkt ändern, per phpmyadmin oder per ssh.
Alternativ kannst du auch den vhost für Froxlor per ssh manuel ändern.

[d00p]

7 hours ago, Exploit said:

Dazu muss Froxlor erst mal wieder laufen, also eine php-konfiguration haben mit der es aufgerufen werden kann.

mod_php wieder aktivieren, alle generierten vhosts löschen und http://ip/froxlor - jast du doch selbst im ersten post geschrieben wie du das wieder erreicht hast

[Exploit]

12 hours ago, d00p said:

mod_php wieder aktivieren, alle generierten vhosts löschen und http://ip/froxlor - jast du doch selbst im ersten post geschrieben wie du das wieder erreicht hast 

Das wollte ich meinen Kunen am Montag Morgen nicht unbedingt antun Habe dan doch noch einen anderen weg gefunden...

Die alte .conf für den Froxlor Host aus "/etc/php5/fpm/pool.d/" von einem Backup nach "/etc/php/7.0/fpm/pool.d" hochgeladen und dann ein "systemctl restart php7.0-fpm" und das Controlpanel lief (der rest hatte dann gepasst).

Dann im Controlpanel den php-fpm Hacken gesetzt, den Cronjob ausgeführt und die hochgeladene Datei aus dem Backup wurde nun von Froxlor überschrieben, also neu angelegt, was ja auch so sein soll.

Irgendwo hat Froxlor da aber auch einen kleinen Fehler, denn es ergibt ja keinen Sinn das er in der "10_froxlor_ipandport_xx.xx.xx.xx.443.conf" auf ein Socket zeigt ohne die .conf dazu in der "pool.d" an zu legen.

[d00p]

10 hours ago, Exploit said:

Irgendwo hat Froxlor da aber auch einen kleinen Fehler, denn es ergibt ja keinen Sinn das er in der "10_froxlor_ipandport_xx.xx.xx.xx.443.conf" auf ein Socket zeigt ohne die .conf dazu in der "pool.d" an zu legen.

Nö funktioniert alles wunderbar...Der Froxlor-Vhost (die configs mit 10_*) hat per default eine EIGENE php-fpm config, kannst du unter PHP Konfigurationen ja einfach sehen welche config von welcher domain genutzt wird....vllt findest du da die Ursache