サーバーのセキュリティ

説明

Bot検出を有効にし、クライアントを拒否するかCAPTCHAへリダイレクトして対処します。ファイアウォールが有効な場合、クライアントIPはファイアウォールレベルで拒否されます。

デフォルト値ははいです。

構文

ラジオボックスから選択

説明

iptablesによるファイアウォール変更を有効にします。この設定を有効にするには、このシステムでiptablesが有効になっている必要があります。

ipsetもこのシステムにインストールされ、有効になっている場合、iptablesのファイアウォールルールセットをより効率的に管理するために使用されます。

デフォルト値ははいです。

構文

ラジオボックスから選択

ヒント

パフォーマンス iptablesのファイアウォールルールセットをより効率的に管理するには、システムにipsetをインストールして有効にしておく必要があります。

説明

指定された許可ログイン試行回数の上限に5分以内で達した場合に実行するアクションを指定します。

スロットルはサーバーレスポンス速度を徐々に低下させ、ドロップは応答せずに接続を切断し、拒否は403レスポンスを返します。CAPTCHAまたはドロップはCAPTCHA保護が有効な場合はCAPTCHAへリダイレクトし、それ以外の場合は接続を切断します。

WPログインCAPTCHA完全保護も選択できます。この設定は、許可ログイン試行回数の上限に関係なく、CAPTCHA保護が有効な場合はCAPTCHAへリダイレクトし、それ以外の場合はスロットルを使用します。

デフォルト値:
サーバーレベル: スロットル
VHレベル: サーバーレベル設定を継承します。サーバーレベルがDisableに設定されている場合、スロットルが使用されます。

構文

ドロップダウンリストから選択

ヒント

セキュリティ 信頼済みIPまたはサブネットワークは影響を受けません。
情報 この機能はデフォルトで有効（Throttle）であり、WebAdmin GUIまたはApache設定で追加設定を行う必要はありません。
情報 この設定はLSWSに対してのみApache confのWordPressProtect設定を上書きします。Apacheには影響しません。

情報 これはサーバーレベルで設定でき、バーチャルホストレベルで上書きできます。バーチャルホストレベルで上書きされていない場合、この設定はユーザーのdocroot .htaccessファイル内でApache設定ディレクティブWordPressProtectを使用し、値0（無効）、1（サーバーレベル設定を使用）、throttle、deny、またはdropとして上書きすることもできます。

説明

保護モードで指定されたアクションが実行される前に、1つのIPから5分以内に許可されるwp-login.phpおよびxmlrpc.phpのPOST試行の最大回数を指定します。

この制限は、残り試行回数 = 上限 となるクォータシステムで処理されます。各POST試行により残り試行回数は1減少し、時間の経過とともに設定された上限まで戻ります。あるIPの残り試行回数が設定上限の1/2まで下がると、そのIPはスロットルされ、1/2をさらに下回るほどスロットルが強くなります。残り試行回数が0になると、指定されたアクションがそのIPに対して実行されます。

さらに、CAPTCHAを有効にするも有効な場合、ワーカーごとの追加保護が追加されます。同じワーカーでwp-login.phpおよびxmlrpc.phpが30秒間に設定上限の4倍の頻度でアクセスされた場合、これらのURLはアクセス回数が減少するまでCAPTCHAモードになります。

サーバーをリセットすると、ブロックされたIPはクリアされます。

デフォルト値:
サーバーレベル: 10
VHレベル: サーバーレベル設定を継承

構文

有効範囲: 3 - 1000。

例

ヒント

セキュリティ 信頼済みIPまたはサブネットワークは影響を受けません。

情報 この設定はLSWSに対してのみApache confのWordPressProtect設定を上書きします。Apacheには影響しません。

情報 これはサーバーレベルで設定でき、バーチャルホストレベルで上書きできます。バーチャルホストレベルで上書きされていない場合、この設定はユーザーのdocroot .htaccessファイル内でApache設定ディレクティブWordPressProtectを使用し、3から1000までの整数値で上書きすることもできます。

説明

リクエスト内容の詳細検査を有効にするかどうかを指定します。この機能はApacheのmod_securityと同等であり、既知のシグネチャと照合することで悪意のあるリクエストを検出してブロックするために使用できます。

構文

ラジオボックスから選択

説明

要求フィルタリングエンジンのデバッグ出力の詳細レベルを指定します。 この値の範囲は0-9です。 0はロギングを無効にします。 9は最も詳細なログを生成します。 このオプションを有効にするには、サーバーとバーチャルホストのエラーログログレベルを少なくともINFO以上に設定する必要があります。 これは、要求フィルタリングルールをテストする場合に便利です。

構文

整数

参照

Server ログレベル, Virtual Host ログレベル

説明

検閲ルールに一致したときに実行するデフォルトアクションを指定します。 デフォルト値はdeny,log,status:403です。これは、ステータスコード403でアクセスを拒否し、インシデントをエラーログに記録することを意味します。

構文

文字列。このアクション文字列は、Apache mod_securityの構文と互換性があります。 詳細については、mod_securityマニュアルを参照してください。

参照

ルールセットアクション

説明

HTTP POST要求の本文をチェックするかどうかを指定します。 デフォルトは「いいえ」です。

構文

ラジオボックスから選択

説明

要求本体パーサーが動作している間に、サーバーにアップロードされるファイルが格納される一時ディレクトリ。 デフォルト値は/tmpです。

構文

$SERVER_ROOTで始まる絶対パスまたはパス（サーバーレベルとVHostレベルの場合）。

説明

一時ファイルパスディレクトリに格納されているファイルに使用されるファイルアクセス権を決定するグローバル設定。

構文

3桁の8進数。 デフォルト値は666です。

説明

.htaccessのmod_securityエンジンを無効にする。 これは、サーバーレベルでのみ使用可能なグローバル設定です。 デフォルトは「いいえ」です。

構文

ラジオボックスから選択

説明

監査ログを有効にするかどうかを指定します。 この機能は、Apacheのmod_security監査エンジンと同等です。 有効で、セキュリティ監査ログが設定されている場合は、詳細な要求情報が保存されます。

構文

ラジオボックスから選択

参照

セキュリティ監査ログ

説明

より詳細な情報を提供するセキュリティ監査ログのパスを指定します。   この特別な情報は、たとえば、特定のユーザーの行動を追跡する場合に役立ちます。 ロギングをオンにするには、セキュリティ監査ログを有効化を使用します。

構文

ファイル名への絶対パス又は$SERVER_ROOTからの相対パス

参照

セキュリティ監査ログを有効化

説明

正規表現を評価するときにPCREではなくRE2を使用します。

デフォルト値: いいえ

構文

ラジオボックスから選択

ヒント

情報 PCREはRE2より多くの機能を提供しますが、RE2は最大メモリ使用量を定義でき、PCREより実行時間が予測しやすいため、サーバーアプリケーションでの使用に適しています。
パフォーマンス PCREとは異なり、RE2は固定スタックを使用し、実行時間が入力サイズに対して線形（指数関数的ではなく）に増加することを保証します。

説明

ここで設定されたルールは、ネイティブのLSWS設定で設定されたバーチャルホストに対してのみ機能し、Apache httpd.confを使用するバーチャルホストでは機能しません。

説明

検閲ルールのグループに名前を付けます。 表示専用です。

構文

文字列

説明

現在のルールセットの検閲ルールが満たされたときに実行する必要があるアクションを指定します。 設定されていない場合、デフォルトアクションが使用されます。

構文

文字列。 このアクション文字列はApacheと同じ構文を使用します mod_security SecDefaultActionディレクティブ .

説明

このルールセットを有効にするかどうかを指定します。 このオプションを使用すると、ルールセットを追加または削除せずに、ルールセットをすぐにオン/オフできます。 デフォルトは「はい」です。

構文

ラジオボックスから選択

説明

検閲ルールのリストを指定します。

Apacheの設定ファイルを使用している場合は、httpd.confにルールを設定する必要があります。 ここで定義されたルールは効果がありません。

構文

文字列。 検閲ルールの構文は、Apacheのmod_securityディレクティブの構文に従います。 ここでは、「SecFilter」、「SecFilterSelective」、「SecRule」を使用できます。 Apacheの設定ファイルからセキュリティルールをコピーして貼り付けることができます。

ルールの構文の詳細については、 Mod Security documentation.

ヒント

情報 ここで設定されたルールは、ネイティブのLSWS設定で設定されたvhostsでのみ動作し、Apache httpd.confからのvhostでは動作しません。

説明

これらは、クライアントIPに基づいた接続制御設定です。 これらの設定は、DoS（サービス拒否）攻撃とDDoS（分散サービス拒否）攻撃を緩和するのに役立ちます。

説明

確立された接続の数に関係なく、1秒間に処理できる単一のIPアドレスからの静的コンテンツへの要求の最大数を指定します。

この制限に達すると、将来のすべての要求は次の秒までタールピットされます。 動的に生成されるコンテンツのリクエスト制限は、この制限とは関係ありません。 クライアントごとの要求制限は、サーバーまたはバーチャルホストレベルで設定できます。 バーチャルホストレベルの設定は、サーバーレベルの設定よりも優先されます。

構文

整数

ヒント

セキュリティ信頼できるIPまたはサブネットワークは影響を受けません。

参照

動的リクエスト/秒

説明

確立された接続の数に関係なく、1秒ごとに処理できる単一のIPアドレスからの動的に生成されるコンテンツへの要求の最大数を指定します。 この制限に達すると、今後のすべての動的コンテンツへのリクエストは、次の秒までタールピットされます。

静的コンテンツの要求制限は、この制限とは関係ありません。 このクライアントごとの要求制限は、サーバーまたはバーチャルホストレベルで設定できます。 バーチャルホストレベルの設定は、サーバーレベルの設定よりも優先されます。

構文

整数

ヒント

セキュリティこの制限によって、信頼できるIPまたはサブネットワークは制限されません。

参照

静的リクエスト/秒

説明

確立された接続の数に関係なく、単一のIPアドレスへの最大の送信スループット。 実際の帯域幅は効率上の理由からこの設定よりわずかに高くなることがあります。 帯域幅は4KB単位で割り当てられます。 スロットルを無効にするには、0に設定します。 クライアント単位の帯域幅制限（バイト/秒）は、バーチャルホストレベルの設定がサーバーレベルの設定を上回るサーバーまたはバーチャルホストレベルで設定できます。

構文

整数

ヒント

パフォーマンスパフォーマンスを向上させるため、帯域幅を8KB単位で設定します。.

セキュリティ信頼できるIPまたはサブネットワークは影響を受けません。

参照

受信帯域幅（バイト/秒）

説明

確立された接続の数に関係なく、単一のIPアドレスからの最大許容着信スループット。 実際の帯域幅は効率上の理由からこの設定よりわずかに高くなることがあります。 帯域幅は1KB単位で割り当てられます。 スロットルを無効にするには、0に設定します。 クライアント単位の帯域幅制限（バイト/秒）は、バーチャルホストレベルの設定がサーバーレベルの設定を上回るサーバーまたはバーチャルホストレベルで設定できます。

構文

整数

ヒント

セキュリティ信頼できるIPまたはサブネットワークは影響を受けません。

参照

送信帯域幅（バイト/秒）

説明

1つのIPから許可される同時接続のソフト制限を指定します。 このソフトリミットは、猶予期間（秒）の間に接続ハードリミット以下になると一時的に超過することができますが、接続の数が限界よりも少なくなるまで、キープアライブ接続はできるだけ早く閉じられます。 猶予期間（秒）の後に接続数がまだ制限を超えている場合、そのIPは禁止期間（秒）でブロックされます。

例えば、ページに多数の小さなグラフが含まれている場合、ブラウザは、特にHTTP/1.0クライアントの場合、同時に多くの接続を設定しようとする可能性があります。 これらの接続を短期間で許可する必要があります。

HTTP/1.1クライアントは、複数の接続を設定してダウンロード速度を上げることができ、SSLにはSSL以外の接続とは別の接続が必要です。 通常のサービスに悪影響を及ぼさないように、制限値が適切に設定されていることを確認してください。 推奨される制限は、5〜10です。

構文

整数

ヒント

セキュリティ数字が小さいほど、より明確なクライアントに対応できます。
セキュリティ信頼できるIPまたはサブネットワークは影響を受けません。
パフォーマンス多数の同時クライアントマシンでベンチマークテストを実行する場合は、高い値に設定します。

説明

単一のIPアドレスから同時に許可される接続の最大数を指定します。 この制限は常に強制され、クライアントはこの制限を超えることはできません。 HTTP/1.0クライアントは通常、埋め込みコンテンツを同時にダウンロードするのに必要な数の接続を設定しようとします。 この制限は、HTTP/1.0クライアントが引き続きサイトにアクセスできるように十分に高く設定する必要があります。 接続ソフトリミットを使用して、目的の接続制限を設定します。

構文

整数

ヒント

セキュリティ数字が小さいほど、より明確なクライアントに対応できます。
セキュリティ信頼できるIPまたはサブネットワークは影響を受けません。
パフォーマンス多数の同時クライアントマシンでベンチマークテストを実行する場合は、高い値に設定します。

説明

不正な形式のHTTPリクエストを禁止期間（秒）の間送信し続けるIPをブロックします。デフォルトははいです。 これは、不要なリクエストを繰り返し送信するボットネット攻撃のブロックに役立ちます。

構文

ラジオボックスから選択

説明

1つのIPから確立された接続の数が接続ソフトリミットを超えた後に新しい接続が受け入れられる期間を指定します。 この期間内に、総接続数が接続ハードリミット未満の場合は、新しい接続が受け入れられます。 この期間が経過した後、まだ接続数が接続ソフトリミットよりも高い場合、問題のIPは禁止期間（秒）でブロックされます。

構文

整数

ヒント

パフォーマンスセキュリティダウンロードに十分な大きさに設定してください。 完全なページですが、故意の攻撃を防ぐのに十分な低さです。

説明

猶予期間（秒）経過後、接続数がまだ接続ソフトリミット以上の場合、新しい接続がIPから拒否される期間を指定します。 IPが繰り返し禁止されている場合は、禁止期間を延長して虐待のペナルティを強化することをお勧めします。

構文

整数

説明

静的ファイルを提供する際のシンボリックリンクのサーバーレベルのデフォルト設定を指定します。

選択肢ははい、オーナーと一致する場合 いいえです。

はいは、シンボリックリンクに常に従うようにサーバーを設定します。 所有者の一致がの場合は、リンクの所有者とターゲットの所有者が同じ場合にのみシンボリックリンクに従うようにサーバーを設定します。 いいえは、サーバーがシンボリックリンクを決して辿らないことを意味します。 この設定はバーチャルホスト設定で上書きできますが、.htaccessファイルで上書きすることはできません。

構文

ドロップダウンリストから選択

ヒント

パフォーマンスセキュリティ最高のセキュリティを実現するには、いいえまたは所有者と一致する場合を選択します。 最高のパフォーマンスを得るには、はいを選択します。

参照

シンボリックリンクを確認する.

説明

シンボリックリンクに従うがオンになっているときに、アクセス拒否ディレクトリに対するシンボリックリンクをチェックするかどうかを指定します。 有効にすると、URLで参照されるリソースのカノニカル実パスが、設定可能なアクセス拒否ディレクトリと照合されます。 アクセスが拒否されたディレクトリ内にある場合、アクセスは拒否されます。

構文

ラジオボタンから選択

ヒント

パフォーマンスセキュリティ最高のセキュリティを実現するには、このオプションを有効にします。 最高のパフォーマンスを得るには、無効にしてください。

参照

シンボリックリンクに従う, アクセス拒否ディレクトリ

説明

厳密なファイル所有権チェックを実施するかどうかを指定します。 有効になっている場合、Webサーバーは、提供されるファイルの所有者がバーチャルホストの所有者と同じかどうかをチェックします。 異なる場合は、403アクセス拒否エラーが返されます。 これはデフォルトではオフになっています。

構文

ラジオボタンから選択

ヒント

セキュリティ共有ホスティングの場合、このチェックを有効にしてセキュリティを強化します。

説明

サーバーが提供する静的ファイルに必要なアクセス許可マスクを指定します。 たとえば、全員が読み取り可能なファイルのみを処理できる場合は、値を0004に設定します。 すべての値についてman 2 statを参照してください

構文

8進数

参照

制限付き許可マスク.

説明

サーバーが提供しない静的ファイルに対する制限付きのアクセス許可マスクを指定します。 たとえば、実行可能ファイルの配信を禁止するには、マスクを0111に設定します。

すべての値についてman 2 statを参照してください。

構文

8進数

参照

必要な許可マスク.

説明

サーバーが提供しないスクリプトファイルに対する制限付きアクセス許可マスクを指定します。 たとえば、グループおよびワールド書き込み可能なPHPスクリプトの配信を禁止するには、マスクを022に設定します。 デフォルト値は000です。

すべての値についてman 2 statを参照してください。

構文

8進数

参照

スクリプトディレクトリのアクセス許可マスクの制限.

説明

サーバーが提供しないスクリプトファイルの親ディレクトリの制限付きアクセス許可マスクを指定します。 たとえば、グループおよびワールド書き込み可能なディレクトリでPHPスクリプトを処理することを禁止するには、マスクを022に設定します。 デフォルト値は000です。 このオプションを使用して、アップロードされたファイルのディレクトリ下でスクリプトを提供しないようにすることができます。

すべての値についてman 2 statを参照してください。

構文

8進数

参照

スクリプトのアクセス許可マスクの制限.

説明

次の設定は、CGIプロセスを制御します。 これらのアプリケーションに対して制限が明示的に設定されていない場合は、メモリおよびプロセスの制限も他の外部アプリケーションのデフォルトとして機能します。

説明

CGIデーモンとの通信に使用される一意のソケットアドレス。 LiteSpeedサーバーは、スタンドアロンのCGIデーモンを使用して、最高のパフォーマンスとセキュリティを実現するCGIスクリプトを生成します。 デフォルトソケットはuds://$SERVER_ROOT/admin/lscgid/.cgid.sock "です。 別の場所に配置する必要がある場合は、ここにUnixドメインソケットを指定します。

構文

UDS://path

例

説明

サーバーが開始できる同時CGIプロセスの最大数を指定します。 CGIスクリプトに対する各要求に対して、サーバーはスタンドアロンCGIプロセスを開始する必要があります。 Unixシステムでは、並行プロセスの数が制限されています。 過度の並行処理は、システム全体のパフォーマンスを低下させ、DoS攻撃を実行する1つの方法です。 LiteSpeedサーバーはCGIスクリプトへの要求をパイプライン処理し、同時のCGIプロセスを制限して最適なパフォーマンスと信頼性を確保します。 上限は2000です。

構文

整数

ヒント

セキュリティパフォーマンス上限が高いと必ずしもパフォーマンスが向上するとは限りません。 ほとんどの場合、下限値を指定するとパフォーマンスとセキュリティが向上します。 上限は、CGI処理中にI / O待ち時間が過大になる場合にのみ役立ちます。

説明

外部アプリケーションの最小ユーザーIDを指定します。 ここで指定した値よりも小さいユーザーIDを持つ外部スクリプトの実行は拒否されます。 LiteSpeed Webサーバーが「root」ユーザーによって起動された場合、Apacheなどの「suEXEC」モードで外部アプリケーションを実行できます（Webサーバー以外のユーザー/グループIDに変更する）。

構文

整数

ヒント

セキュリティすべてのシステム/特権ユーザーを除外するのに十分な高さに設定します。

説明

外部アプリケーションの最小グループIDを指定します。 ここで指定した値よりも小さいグループIDを持つ外部の実行は拒否されます。 LiteSpeed Webサーバーが "root"ユーザーによって起動された場合、Apacheで見つかった "suEXEC"モードで外部アプリケーションを実行できます（Webサーバー以外のユーザー/グループIDに変更する）。

構文

整数

ヒント

セキュリティシステムユーザーが使用するすべてのグループを除外するのに十分な高さに設定します。

説明

suEXECモードで起動したすべての外部アプリケーションに使用するグループIDを指定します。 ゼロ以外の値に設定すると、すべてのsuEXEC外部アプリケーション（CGI/FastCGI/LSAPI）がこのグループIDを使用します。 これにより、外部アプリケーションが他のユーザーが所有するファイルにアクセスするのを防ぐことができます。

たとえば、共有ホスティング環境では、LiteSpeedはユーザー "www-data"として実行され、グループ "www-data"として実行されます。 各docrootは、 "www-data"のグループと許可モード0750を持つユーザーアカウントによって所有されています。 強制GIDが "nogroup"（または 'www-data'以外のグループ）に設定されている場合、すべてのsuEXEC外部アプリケーションは特定のユーザーとして実行されますが、グループ "nogroup"に実行されます。 これらの外部アプリケーション・プロセスは（ユーザーIDのために）特定のユーザーが所有するファイルには引き続きアクセスできますが、他のユーザーのファイルにアクセスするためのグループ権限は持っていません。 一方、サーバは、（グループIDのために）どんなユーザのdocrootディレクトリ下でもファイルを提供することができます。

構文

整数

ヒント

セキュリティシステムユーザーが使用するすべてのグループを除外するのに十分な高さに設定します。

説明

CGIプロセスのデフォルトのumaskを設定します。 詳細は、man 2 umaskを参照してください。 これは、外部アプリケーションumaskのデフォルト値としても機能します。

構文

有効範囲値[000]〜[777]。

参照

ExtApp umask

説明

外部アプリケーションプロセスの優先度を指定します。値の範囲は-20から20です。数値が小さいほど優先度は高くなります。

CGIプロセスはWebサーバーより高い優先度を持つことはできません。この優先度がサーバーの優先度より小さい数値に設定されている場合、サーバーの優先度がこの値に使用されます。

構文

整数

参照

Server 優先度

説明

CGIプロセスのCPU消費制限時間を秒単位で指定します。 プロセスがソフトリミットに達すると、シグナルによって通知されます。 値が存在しない場合、または0に設定されている場合は、オペレーティングシステムのデフォルト設定が使用されます。.

構文

整数

説明

CGIプロセスの最大CPU使用時間制限を秒単位で指定します。プロセスがCPU時間を消費してハードリミットに達すると、プロセスは強制終了されます。 値が存在しないか、0に設定されている場合は、オペレーティングシステムのデフォルト設定が使用されます。

構文

整数

説明

外部アプリケーション・プロセスまたはサーバーによって開始された外部アプリケーションのメモリー消費制限をバイト単位で指定します。

この制限の主な目的は、ソフトウェアのバグや意図的な攻撃のために過度のメモリ使用を防止し、通常の使用に制限を設けないことです。 十分なヘッドスペースを確保してください。そうしないと、アプリケーションが失敗し、503エラーが返される可能性があります。 サーバーレベルまたは個々の外部アプリケーションレベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。

オペレーティングシステムのデフォルト設定は、値が両方のレベルにないか、0に設定されている場合に使用されます。

構文

整数

ヒント

注意この制限を過度に調整しないでください。 アプリケーションでより多くのメモリが必要な場合は、503のエラーが発生する可能性があります。

説明

ソフトリミットをユーザープロセス内のハードリミットまで上げることができることを除けば、メモリソフトリミット（バイト）と同じくらい同じです。 ハード・リミットは、サーバー・レベルまたは個々の外部アプリケーション・レベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。

値が両方のレベルにないか、0に設定されている場合、オペレーティングシステムのデフォルトが使用されます。

構文

整数

ヒント

注意この制限を過度に調整しないでください。アプリケーションがより多くのメモリを必要とする場合、503エラーが発生する可能性があります。

説明

ユーザーに代わって作成できるプロセスの総数を制限します。 既存のすべてのプロセスは、開始される新しいプロセスだけでなく、この限度に対してカウントされます。

制限は、サーバーレベルまたは個々の外部アプリケーションレベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。 この値が0または両方のレベルにない場合、オペレーティングシステムのデフォルト設定が使用されます。

構文

整数

ヒント

情報 suEXECモードでLSWSがユーザーに対して行うプロセスの数を制御するには、suEXEC Max Conn設定を使用します。 PHPスクリプトはプロセスをフォークするために呼び出すことができ、通常の機能に必要なプロセスの数はsuEXEC Max Connの設定を上回る可能性があります。 この制限の主な目的は、フォーク爆弾や他のプロセスを作成するPHPプロセスによって引き起こされる他の攻撃を防ぐための最終防衛線です。
この設定を低すぎると、機能が著しく損なわれる可能性があります。 この設定は特定のレベル以下では無視されます。
suEXECデーモンモードを使用する場合、親プロセスが制限されないように、実際のプロセス制限はこの設定よりも高くなります。

説明

ソフトリミットをユーザープロセス内のハードリミットまで上げることができることを除けば、プロセスソフトリミットとほとんど同じです。 ハードリミットは、サーバー・レベルまたは個々の外部アプリケーションレベルで設定できます。 サーバーレベルの制限は、個々のアプリケーションレベルで設定されていない場合に使用されます。 オペレーティングシステムのデフォルト値は、値が両方のレベルにないか、0に設定されている場合に使用されます。

構文

整数

説明

プロセス群のリソース使用量（CPU、メモリ、ディスクI/O、ネットワークなど）を制限、集計、分離するLinuxカーネル機能です。ファイル/sys/fs/cgroup/cgroup.controllersの存在で判定されるcgroups v2を実行している必要があります。

サーバーレベルで無効に設定すると、この設定はサーバー全体で無効になります。それ以外の場合、サーバーレベルの設定はバーチャルホストレベルで上書きできます。

デフォルト値：
サーバーレベル：Off
VHレベル：サーバーレベル設定を継承

構文

ドロップダウンリストから選択

説明

CAPTCHA保護は、高いサーバー負荷を緩和する手段として提供されるサービスです。CAPTCHA保護は、以下のいずれかの状況に達すると有効化されます。有効化されると、信頼されていない（設定に基づく）クライアントからのすべてのリクエストはCAPTCHA検証ページにリダイレクトされます。検証後、クライアントは目的のページにリダイレクトされます。

次の状況でCAPTCHA保護が有効化されます：
1. サーバーまたはvhostの同時リクエスト数が、設定された接続数上限を超えた場合。
2. Anti-DDoSが有効で、クライアントが疑わしい方法でURLにアクセスしている場合。トリガーされると、拒否される前にクライアントはまずCAPTCHAにリダイレクトされます。
3. CAPTCHAをRewriteRulesで有効化するための新しいrewrite rule環境が提供されています。'verifycaptcha'を設定すると、クライアントをCAPTCHAにリダイレクトできます。特殊な値': deny'を設定すると、失敗回数が多すぎるクライアントを拒否できます。たとえば、[E=verifycaptcha]は検証されるまで常にCAPTCHAにリダイレクトします。[E=verifycaptcha: deny]は最大試行回数に達するまでCAPTCHAにリダイレクトし、その後クライアントを拒否します。

説明

現在のレベルでCAPTCHA保護機能を有効にします。この機能を使用するには、サーバーレベルでこの設定をはいに設定する必要があります。

デフォルト値：
サーバーレベル：はい
VHレベル：サーバーレベル設定を継承

構文

ラジオボックスから選択

説明

reCAPTCHAまたはhCaptchaサービスによって割り当てられる公開キーです。

reCAPTCHAを使用する場合、設定されていなければデフォルトのサイトキーが使用されます（非推奨）。

説明

reCAPTCHAまたはhCaptchaサービスによって割り当てられる秘密キーです。

reCAPTCHAを使用する場合、設定されていなければデフォルトのシークレットキーが使用されます（非推奨）。

説明

キーペアで使用するCAPTCHAの種類を指定します。
キーペアが指定されておらず、この設定が未設定に設定されている場合、CAPTCHA種類reCAPTCHA Invisibleのデフォルトキーペアが使用されます。

reCAPTCHA Checkboxは、訪問者が検証するためのチェックボックスCAPTCHAを表示します。 （サイトキー、シークレットキーが必要）

reCAPTCHA InvisibleはCAPTCHAを自動的に検証しようとし、成功した場合は目的のページにリダイレクトします。 （サイトキー、シークレットキーが必要）

hCaptchaは、CAPTCHAプロバイダー hCaptchaをサポートするために使用できます。 （サイトキー、シークレットキーが必要）

デフォルト値はreCAPTCHA Invisibleです。

構文

ドロップダウンリストから選択

説明

自動CAPTCHA感度。値が高いほど、CAPTCHA保護が使用される可能性が高くなります。値0は「Off」と同等で、値100は「Always On」と同等です。

デフォルト値:
サーバーレベル: 0
バーチャルホストレベル: サーバーレベル設定を継承

構文

0から100までの整数値。

説明

最大試行回数は、訪問者を拒否する前に許可されるCAPTCHA試行の最大回数を指定します。

デフォルト値は3です。

構文

整数

説明

CAPTCHA送信が成功した後の有効期限を設定します。期限切れ後、その訪問者に対してCAPTCHA保護が再度トリガーされます。

デフォルト値: 86,400（1日）。

構文

30から31,536,000（1年）までの整数値。

説明

「good bots」の通過を許可する10秒あたりのヒット数です。サーバーが高負荷状態の場合、ボットは引き続きスロットルされます。

デフォルト値は3です。

構文

整数

説明

アクセスを許可するカスタムユーザーエージェントのリストです。allowedRobotHitsを含む「good bots」の制限対象になります。

構文

ユーザーエージェントのリストを1行に1つずつ指定します。Regexを使用できます。

説明

サーバーレベルでAnubis保護機能を有効にします。

サーバーレベルでこれをDisableに設定すると、この設定はサーバー全体で無効になります。それ以外の場合、サーバーレベル設定はバーチャルホストレベルで上書きできます。

デフォルト値:
サーバーレベル: Disable
VHレベル: サーバーレベル設定を継承

構文

ドロップダウンリストから選択

説明

バックエンドAnubis Serverのアドレス。IPv4アドレスまたはIPv6アドレスを指定できます。

デフォルト値は127.0.0.1:8923です

構文

IPv4_address:portまたは[IPv6_address]:port

説明

Anubisバックエンドサーバーへの接続で許可される最大数。

デフォルト値は100です

構文

1から10,000までの値。

説明

CGIプロセス（PHPプログラムを含む）をbubblewrapサンドボックス内で起動する場合は、有効に設定します。bubblewrapの使用方法の詳細は次を参照してください。 https://wiki.archlinux.org/title/Bubblewrap この設定を使用する前に、システムにBubblewrapがインストールされている必要があります。

サーバーレベルで"Disabled"に設定されている場合、この設定をバーチャルホストレベルで有効にすることはできません。

デフォルト値：
サーバーレベル：Disabled
VHレベル：サーバーレベル設定を継承

構文

ドロップダウンリストから選択

説明

bubblewrapプログラム自体を含む、完全なbubblewrap使用コマンドです。このコマンドの設定に関する詳細は次を参照してください。 https://openlitespeed.org/kb/bubblewrap-in-openlitespeed/ 。指定しない場合は、以下のデフォルトコマンドが使用されます。

デフォルト値： /bin/bwrap --ro-bind /usr /usr --ro-bind /lib /lib --ro-bind-try /lib64 /lib64 --ro-bind /bin /bin --ro-bind /sbin /sbin --dir /var --dir /tmp --proc /proc --symlink ../tmp var/tmp --dev /dev --ro-bind-try /etc/localtime /etc/localtime --ro-bind-try /etc/ld.so.cache /etc/ld.so.cache --ro-bind-try /etc/resolv.conf /etc/resolv.conf --ro-bind-try /etc/ssl /etc/ssl --ro-bind-try /etc/pki /etc/pki --ro-bind-try /etc/man_db.conf /etc/man_db.conf --ro-bind-try /home/$USER /home/$USER --bind-try /var/lib/mysql/mysql.sock /var/lib/mysql/mysql.sock --bind-try /home/mysql/mysql.sock /home/mysql/mysql.sock --bind-try /tmp/mysql.sock /tmp/mysql.sock --unshare-all --share-net --die-with-parent --dir /run/user/$UID ‘$PASSWD 65534’ ‘$GROUP 65534’

説明

CGIプロセス（PHPプログラムを含む）をNamespaceコンテナサンドボックス内で起動する場合は、有効に設定します。Bubblewrapコンテナが無効に設定されている場合にのみ使用されます。

サーバーレベルで無効以外に設定されている場合、この設定値はバーチャルホストレベルで上書きできます。

デフォルト値：
サーバーレベル：無効
バーチャルホストレベル：サーバーレベル設定を継承

構文

ドロップダウンリストから選択

説明

マウントするディレクトリのリストと、それらをマウントする方法を含む既存の設定ファイルへのパスです。Namespaceコンテナが有効に設定され、この値が未設定の場合、次の安全なデフォルト設定が使用されます。

$HOMEDIR/.lsns/tmp /tmp,tmp
/usr,ro-bind
/lib,ro-bind
/lib64,ro-bind-try
/bin,ro-bind
/sbin,ro-bind
/var,dir
/var/www,ro-bind-try
/proc,proc
../tmp var/tmp,symlink
/dev,dev
/etc/localtime,ro-bind-try
/etc/ld.so.cache,ro-bind-try
/etc/resolv.conf,ro-bind-try
/etc/ssl,ro-bind-try
/etc/pki,ro-bind-try
/etc/man_db.conf,ro-bind-try
/usr/local/bin/msmtp /etc/alternatives/mta,ro-bind-try
/usr/local/bin/msmtp /usr/sbin/exim,ro-bind-try
$HOMEDIR,bind-try
/var/lib/mysql/mysql.sock,bind-try
/home/mysql/mysql.sock,bind-try
/tmp/mysql.sock,bind-try
/run/mysqld/mysqld.sock,bind-try
/var/run/mysqld.sock,bind-try
/run/user/$UID,bind-try
$PASSWD
$GROUP
/etc/exim.jail/$USER.conf $HOMEDIR/.msmtprc,copy-try
/etc/php.ini,ro-bind-try
/etc/php-fpm.conf,ro-bind-try
/etc/php-fpm.d,ro-bind-try
/var/run,ro-bind-try
/var/lib,ro-bind-try
/etc/imunify360/user_config/,ro-bind-try
/etc/sysconfig/imunify360,ro-bind-try
/opt/plesk/php,ro-bind-try
/opt/alt,bind-try
/opt/cpanel,bind-try
/opt/psa,bind-try
/var/lib/php/sessions,bind-try

構文

絶対パス又は$SERVER_ROOTからの相対パス。

説明

アクセスをブロックするディレクトリを指定します。 重要なデータを含むディレクトリをこのリストに追加して、誤って機密ファイルをクライアントに公開しないようにします。 すべてのサブディレクトリを含めるためにパスに「*」を追加します。 シンボリックリンクに従うとシンボリックリンクを確認するの両方を有効にすると、拒否されたディレクトリに対してシンボリックリンクがチェックされます。

構文

ディレクトリのカンマ区切りリスト

ヒント

セキュリティ重要な点：この設定では、これらのディレクトリから静的ファイルを提供することができません。 これは、PHP/Ruby/CGIなどの外部スクリプトによるエクスポージャーを防ぐものではありません。

説明

どのサブネットワークおよび/またはIPアドレスがサーバーにアクセスできるかを指定します。 サーバレベルでは、この設定はすべてのバーチャルホストに影響します。 バーチャルホストレベルで各バーチャルホストに固有のアクセス制御を設定することもできます。 バーチャルホストレベルの設定はサーバーレベルの設定を上書きしません。

ブロック/ IPの許可は、許可リストと拒否リストの組み合わせによって決まります。 特定のIPまたはサブネットワークのみをブロックする場合は、許可リストに*またはALLを入れ、ブロックされたIPまたはサブネットワークを拒否リスト。
特定のIPまたはサブネットワークのみを許可する場合は、拒否リストに*またはALLを入れ、許可されたIPまたはサブネットワークを許可リスト。
IPに適合する最小スコープの設定は、アクセスを決定するために使用されます。

サーバーレベル：信頼できるIPまたはサブネットワークは、許可リストに、末尾の "T"を追加することで指定する必要があります。 信頼できるIPまたはサブネットワークは、接続/スロットリング制限の影響を受けません。 信頼できるIP/サブネットワークは、サーバーレベルのアクセス制御でのみ設定できます。

ヒント

セキュリティすべてのバーチャルホストに適用される一般的な制限については、サーバーレベルでこれを使用してください。

説明

許可されるIPまたはサブネットワークのリストを指定します。 *またはALLが受け入れられます。

構文

IPアドレスまたはサブネットワークのカンマ区切りリスト。 末尾の「T」は、192.168.1.*Tなどの信頼できるIPまたはサブネットワークを示すために使用できます。

例

ヒント

セキュリティサーバーレベルのアクセス制御で設定された信頼されたIPまたはサブネットワークは、接続/スロットリングの制限から除外されます。

説明

許可されていないIPまたはサブネットワークのリストを指定します。

構文

IPアドレスまたはサブネットワークのカンマ区切りリスト。 *またはALLが受け入れられます。

例