Webサーバー パラメータシート（IIS / Apache / nginx）

Webサーバーの主要3製品を1枚にまとめています。設定項目の「概念」は共通で名前と書き方だけが違うため、3製品のパラメータ名を並記する対応表の形にしました。使う製品の列だけを埋めてください。★核は3枚です。（1）サイトとTLS設計 … 名前で振り分けたとき、★どの名前にも一致しなかった要求がどこへ行くかが製品ごとに決まっています。Apache は最初に定義した VirtualHost、nginx は default_server（指定が無ければ最初の server ブロック）、IIS はホスト名なしのバインドが受けます。受け皿を明示しないと、IPアドレスで直接叩いただけで内部向けのサイトが見えます。名前で分けているのに証明書が1枚しか無いと、別サイトの証明書が返ります。（2）ログとクライアントIP … ロードバランサの配下では★アクセスログの送信元が全部LBのアドレスになります。元のIPを渡してもらい受け側で記録する設定が要りますが、★無条件に信頼すると利用者が自由に偽装できます。信頼する送信元をLBのアドレスだけに限定してください。（3）公開範囲設計 … 既定のままだと余計なものが見えます。索引ファイルが無いディレクトリの一覧、置き忘れた .bak、詳細なエラーページ、製品名と版数。「置かない」が第一ですが、置かれる前提で塞ぐ設計にします。

★どの名前にも一致しない要求の行き先を必ず決めてください。受け皿を明示的に作り、拒否するか固定の応答を返してください。「何も設定しない」は「最初のサイトが受ける」という設定と同じ意味になります。★サイトを足すたびに、既存のサイトが正しく当たるかを確認してください。並び順や既定の指定が変わると、既存の当たり方まで変わります。★元のクライアントIPは「記録されていること」と「偽装できないこと」の両方を試験してください。記録されているだけでは、その値が正しい保証になりません。★ロードバランサの死活監視は大量に記録されます。除外するか印を付けてください。★ディレクトリの一覧を無効にしてください。索引ファイルが無い場所では、作業中に置いた退避ファイルがそのまま公開されます。★退避ファイル（.bak / .old）は拡張子と名前で塞いでください。緊急対応の最中に置かれる前提で守ります。★エラーページを利用者向けの固定ページにしてください。既定のままだと内部のパスや例外が表示されます。★アップロード先では実行させないでください。★反映の前に必ず設定を検査してください。検査せずに反映すると、失敗した時点で全サイトが落ちます。★2台を同時に更新しないでください。LBから1台外して更新し、戻して確認してからもう1台にしてください。パスワード・証明書の鍵は書かず「別紙参照」としてください。