在生产win2008 Web服务器上安装SVN是否安全？

Question

我有一个网络服务器，我目前正在为一家专门托管svn的公司支付SVN托管费用。

我想在我的专用服务器上安装SVN，这有什么安全隐患吗？

Answer 1

对Jedi的小修正：来自http://www.visualsvn.com/server/

的VisualSVN服务器

Answer 2

我使用来自http://www.visualsvn.com/server/的VisualSVN Server，非常容易安装，可以与活动目录集成。它安装在win2008上没有问题。

Answer 3

这取决于你想要考虑这个问题的程度。

如果您想自己安装Subversion服务器，看起来您有两个选择：

• 的Apache
• 颠覆自己的协议

在任何一种情况下，问题都不是两者所做的，而是两个无意中做了什么。

如果Apache中存在允许外部攻击者访问您的数据的错误，那么这很糟糕。如果Subversions自带的服务器中存在允许相同的错误，那就不好了。

您需要做的是考虑场景的风险和后果，并在可能的情况下提出满足您要求的服务器设置。

您至少需要考虑的案例是：

• 允许攻击者下沉服务器的任一系统中的错误（例如：某些因素会导致服务器使用过多的CPU时间）
• 允许攻击者访问该服务器上的数据的任一系统中的错误
• 允许攻击者访问您的域的任一系统中的错误（即，从该公共服务器可用的所有服务器和计算机）

就我个人而言，我已经考虑过现在有多少人通过Apache托管subversion服务器，并且毫无疑问地安装了VisualSVN Server来托管我自己的源代码。

Answer 4

对于简单的安全性要求，使用svnserve设置Subversion几乎是微不足道的。即使让它在Apache下运行以满足更广泛的安全需求也不会太困难。

这是一个很好的演练：

http://donie.homeip.net:8080/pebble/Steve/2006/02/27/1141079943879.html

Answer 5

Apache和SVN很容易一起运行，但有很多步骤。今天肯定比2年前我第一次尝试时更容易。确保您具有匹配的模块版本，并在部署到服务器之前花一些时间在本地使用Apache。有和没有SSL的Apache版本。检查是否包含OpenSSL，以保护线路上的凭据。

安装Apache，以便可以手动启动，例如。不是服务。您需要这样做以避免与服务器上的任何IIS应用程序发生冲突。一旦配置正确，您可以安装Apache以便稍后作为服务运行。

通常Apache会使用基本身份验证。您需要使用SSL保护此功能，凭据在传输过程中不会加密。您将用户详细信息放在磁盘上的测试文件中。如果您想针对Windows或活动目录对用户进行身份验证，那么您手上的任务就会更大（或许可以参见VisualSVN）。

我快速浏览了VisuaSVN，这似乎是个不错的选择。然而，一点Apache配置体验可以走很长的路。来自IIS背景并不太难，只需花一些时间来审查所有选项/设置。

Answer 6

VisualSVN是一种罕见的野兽 - 一种在Windows上安装SVN比在Linux上更容易安装的设置工具。考虑到Linux，你只需输入“yum install subversion”，这就是一些赞誉。

但是，如果您真的很担心，我会安装VMware并在您的Web服务器上的来宾操作系统中运行您的SVN服务器。

安全性：如果您运行svnserve，则只需阻止访问该端口（3960）即可访问除您的计算机之外的所有端口。如果没有，您将需要保护svn auth配置文件。 如果你使用apache运行它，那么它只是另一个网站，以通常的方式保护。

Answer 7

生产服务器svn服务器在可用性方面很重要，但它永远不够，无论是Windows Srvr 2007，RH Linux无论如何......你需要一个深思熟虑的备份策略并注意访问管理。

Answer 8

SVN很难在Windows环境中进行设置，至少如果你想要托管SVN，本地存储库是不同的。我的建议是坚持使用公司或搜索更便宜的SVN，不会花费太多钱。它们并不难设置，但由于备份不当，您不愿意丢失所有源代码。