Apache vs Microsoft IIS – porównanie popularnych serwerów WWW

Apache to darmowy serwer open source działający na wielu platformach sprzętowych, natomiast Microsoft IIS to zamknięte oprogramowanie komercyjne zintegrowane wyłącznie z systemem Windows Server. Wybór między nimi zależy od języka programowania Twojej aplikacji – Apache dominuje w projektach PHP i stosie LAMP, a IIS jest wymogiem dla natywnych technologii ASP.NET.

Prawda jest zresztą absolutnie taka, że spór o Apache vs Microsoft IIS trwa od dekad. Oba rozwiązania mają swoje lata świetności za sobą, bo rynek mocno przejął Nginx. Mimo to tysiące firm nadal opiera na nich swoją infrastrukturę. Znamy to z własnego podwórka. Często przejmujemy projekty, w których poprzedni administratorzy wybrali serwer WWW na chybił trafił. A to zawsze kończy się awarią.

Co lepiej wybrać do hostingu: Apache czy Microsoft IIS?

Decyzja o wyborze oprogramowania serwerowego sprowadza się do technologii, w jakiej napisano Twoją stronę. Zrobiliśmy na wdrożeniu testy kilkunastu aplikacji i zasada jest prosta. Masz WordPressa, Joomlę lub autorski skrypt w PHP? Instalujesz Apache. Masz aplikację napisaną w C# i opartą o framework .NET? Jesteś skazany na Microsoft IIS.

Nie ma sensu kombinować pod górkę. Apache obsłuży technologie Microsoftu przez dodatkowe wtyczki, ale to działa tragicznie. Wydajność spada. Serwer zatyka się przy byle ataku DDoS. IIS z kolei potrafi uruchomić PHP za pomocą FastCGI. Działa to w miarę znośnie, ale konfiguracja uprawnień do plików w systemie Windows to koszmar dla każdego dewelopera przyzwyczajonego do prostego chmod z Linuksa.

Zestawienie popularnych serwerów WWW wymaga twardego spojrzenia na architekturę.

Jakie są różnice w architekturze tych serwerów WWW?

Apache opiera się na modułach Multi-Processing Modules (MPM). Oznacza to, że administrator ma pełną kontrolę nad tym, jak serwer obsługuje żądania. My najczęściej używamy modułu Event, który świetnie radzi sobie z dużą liczbą jednoczesnych połączeń bez pożerania całej pamięci RAM. Starszy moduł Prefork tworzy osobny proces dla każdego żądania. To bardzo bezpieczne rozwiązanie dla starszych aplikacji PHP, bo awaria jednego procesu nie ubija całego serwera. Zjada to jednak potwornie dużo zasobów.

Microsoft IIS działa zupełnie inaczej. Żądania HTTP trafiają najpierw do sterownika trybu jądra o nazwie HTTP.sys. Ten element systemu Windows nasłuchuje na porcie 80 lub 443 i natychmiast wrzuca pakiety do odpowiedniej kolejki. Dopiero potem proces roboczy (Worker Process, w3wp.exe) przetwarza kod aplikacji. To daje IIS gigantyczną przewagę w stabilności na platformach Windows. Sterownik w jądrze systemu sprawia, że nawet jeśli aplikacja .NET całkowicie się zawiesi, serwer nadal potrafi zwracać statyczne pliki lub komunikaty o błędach prosto z pamięci podręcznej.

Architektura to jedno. Ale sprzęt i system to drugie.

W jakich systemach operacyjnych działa Apache, a gdzie Microsoft IIS?

Apache jest wieloplatformowy. Zainstalujesz go na Ubuntu, Debianie, CentOS, Red Hat, a nawet na macOS czy Windowsie. W zdecydowanej większości przypadków Apache paruje się z Linuksem. To naturalne środowisko dla tego serwera. Działa tam najszybciej i najstabilniej.

Microsoft IIS to produkt zamknięty w ekosystemie jednej korporacji. Uruchomisz go wyłącznie na systemach z rodziny Windows Server. Jeżeli Twoja firma ma wykupione licencje na Windows Server 2019 lub 2022, IIS dostajesz w pakiecie. Nie płacisz za niego dodatkowo, bo koszt jest wliczony w licencję systemu operacyjnego.

Więc sprawa wygląda tak.

• Jeżeli chcesz ciąć koszty infrastruktury, wybierasz serwer VPS z Linuksem i darmowego Apache. Płacisz tylko za moc obliczeniową maszyn.
• Jeżeli Twoja korporacja wymaga pełnego wsparcia technicznego producenta i Active Directory, płacisz za licencje Windows Server i używasz IIS. Administracja odbywa się wyklikanym interfejsem graficznym.
• Możesz uruchomić Apache na Windowsie do celów deweloperskich (np. XAMPP). Na produkcję nikt rozsądny tego nie puszcza.
• IIS ma wbudowaną integrację z systemem logowania Windows Authentication. To genialne w wewnętrznych sieciach firmowych Intranet. Użytkownik odpala przeglądarkę i jest od razu zalogowany.

Czy IIS zadziała na systemie Linux?

Nie. Microsoft nigdy nie przeportował Internet Information Services na jądro Linuksa. Zamiast tego Microsoft skupił się na rozwoju serwera Kestrel, który jest wbudowany w nowoczesny framework .NET Core i .NET 5+. Kestrel działa na Linuksie rewelacyjnie. IIS pozostaje jednak przywiązany łańcuchem do okienek.

Jak skonfigurować .htaccess w Apache i web.config w IIS?

Pliki konfiguracyjne to miejsce, w którym deweloperzy spędzają najwięcej czasu. Apache zdobył gigantyczną popularność dzięki plikom .htaccess. Pozwalają one na nadpisywanie globalnej konfiguracji serwera dla konkretnego katalogu. Zmieniamy reguły przepisywania adresów URL, blokujemy adresy IP, ustawiamy przekierowania 301. Wszystko działa w locie. Edytujesz plik i zmiany są widoczne natychmiast bez restartowania usługi. Ma to jednak swoją cenę. Apache musi przy każdym żądaniu skanować wszystkie katalogi w poszukiwaniu pliku .htaccess, co spowalnia odczyt z dysku.

Microsoft IIS używa plików web.config. To dokumenty w formacie XML. Nikt nie lubi ręcznie pisać XML. Jest rozwlekły, podatny na błędy składniowe i po prostu brzydki dla oka. Żeby przepisać adresy URL w IIS, musisz zainstalować dodatkowy moduł URL Rewrite, a potem męczyć się z tworzeniem reguł w znacznikach XML. IIS buforuje jednak konfigurację z pliku web.config w pamięci. Działa to obiektywnie szybciej pod dużym obciążeniem niż pliki odczytywane przez Apache w locie.

Zresztą, pamiętam dobrze nasze wdrożenie logistyczne na warszawskim Targówku. Mieliśmy tam stary serwer Windows, IIS w wersji 8.5 i aplikację magazynową. Klient upierał się przy migracji na Apache, bo „kolega mu powiedział, że Linux jest darmowy”. Próba przeniesienia autorskiego kodu C# i konfiguracji z potężnego web.config na moduły Apache i Mono skończyła się sypaniem błędami HTTP 500 co pięć minut. Zmarnowaliśmy dwa dni. Zrozumieliśmy od razu, że natywnych rozwiązań Microsoftu po prostu nie wolno ruszać i przenosić na siłę do świata open source.

Który serwer WWW jest bezpieczniejszy dla sklepu internetowego?

Bezpieczeństwo zależy od kompetencji administratora, a nie od samego oprogramowania. Oba serwery miały w swojej historii poważne luki. Apache często pada ofiarą błędów w źle napisanych modułach zewnętrznych. IIS cierpiał z powodu luk w samym systemie Windows.

W Apache bezpieczeństwo opiera się na minimalizacji uprawnień. Proces roboczy działa z prawami użytkownika o bardzo niskich uprawnieniach (np. www-data). Jeśli haker włamie się na stronę, przejmie tylko ten konkretny proces. Nie wejdzie głębiej do systemu. IIS wprowadził podobny mechanizm izolacji przez Pule Aplikacji (Application Pools). Każda strona WWW na serwerze ma swoją własną pulę i własnego, odizolowanego wirtualnego użytkownika. To świetne rozwiązanie.

Dlaczego wydajność pod dużym ruchem to problem obu rozwiązań?

Apache vs Microsoft IIS to starcie gigantów, ale prawda jest absolutnie taka, że pod ekstremalnym obciążeniem oba serwery po prostu klękają przed Nginx. Apache z modułem Prefork zużywa megabajty pamięci RAM na każde nowe połączenie. Gdy na Twojego bloga nagle wejdzie tysiąc osób w jednej sekundzie, serwer zje cały RAM i zacznie używać partycji swap na dysku. Strona przestanie odpowiadać.

IIS radzi sobie z tym trochę lepiej dzięki architekturze asynchronicznej. Wątki nie są na sztywno przypisane do połączeń. Mimo to, aplikacje .NET potrafią pożerać zasoby pamięci z powodu działania mechanizmu Garbage Collector. Zbyt duża liczba żądań zmusza serwer do ciągłego zwalniania pamięci, co powoduje nagłe skoki użycia procesora. Zoptymalizowaliśmy te procedury w kilku firmach. Najlepszą opcją jest postawienie przed IIS serwera proxy, który przejmie na siebie ruch statyczny, czyli obrazki, style CSS i skrypty JS.

Jakie moduły warto zainstalować na start?

Goły serwer WWW nie potrafi zbyt wiele. Musisz go rozbudować.

• W Apache instalujesz mod_rewrite by w ogóle móc zarządzać przyjaznymi adresami. Następnie dodajesz mod_ssl żeby obsłużyć certyfikaty HTTPS. My zawsze dorzucamy jeszcze mod_headers do manipulacji nagłówkami bezpieczeństwa przeglądarki.
• W IIS sprawa wygląda inaczej. Uruchamiasz Menedżer Serwera i wyklikujesz role. Instalujesz Dynamic Content Compression żeby serwer pakował odpowiedzi w locie algorytmem gzip. Do tego obowiązkowo Request Filtering. Ten moduł to wbudowana zapora aplikacyjna. Odrzuca złośliwe żądania zanim w ogóle dotkną one Twojego kodu w C#.

Każdy dodatkowy moduł to narzut na procesor. Zawsze wyłączaj to, czego nie używasz. Zostawienie domyślnej instalacji z wszystkimi aktywnymi wtyczkami to proszenie się o kłopoty wydajnościowe.

Kiedy definitywnie zrezygnować z IIS na rzecz Apache?

Decyzja o rezygnacji z rozwiązań Microsoftu powinna zapaść w momencie zmiany stosu technologicznego. Migrujesz firmowego CMSa z przestarzałego .NET Framework na nowoczesnego Laravela w PHP? Wyrzuć serwer Windows do kosza. Utrzymywanie licencji tylko po to, żeby uruchamiać PHP pod IIS mija się z logiką finansową. Zmieniliśmy te zasady na robocie u wielu klientów B2B. Oszczędności na licencjach wynoszą tysiące złotych w skali roku.

Z drugiej strony, Apache też powoli traci rynek. Jego konfiguracja bywa zawiła. Dokumentacja jest stara i rozrzucona po forach. Jeżeli zaczynasz całkowicie nowy projekt, to prawdopodobnie i tak wybierzesz Nginx lub Caddy. Ale jeśli przejmujesz infrastrukturę po kimś, musisz znać wady i zalety starszych graczy.

Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek. Powodem jest zazwyczaj brak spójności między środowiskiem lokalnym a serwerem docelowym. Deweloper pisze kod na Windowsie pod wbudowanym serwerem IIS Express, a potem wrzuca pliki na produkcyjnego Linuksa z Apache. Ścieżki do plików nagle przestają działać, bo Linux rozróżnia wielkość liter w nazwach katalogów, a Windows nie. Takie błędy kosztują godziny diagnozowania.

Zamiast czytać kolejne poradniki i dyskutować o przewadze jednego systemu nad drugim na forach, postaw dwie wirtualne maszyny. Zainstaluj Apache na Debianie i IIS na Windows Server. Puść na nie ruch testowy z narzędzia Apache JMeter. Zobaczysz na własne oczy, kiedy procesory zaczną dymić. Nic nie weryfikuje obietnic producentów oprogramowania tak szybko, jak cztery tysiące równoległych zapytań uderzających w panel logowania. Zrób ten test i wyciągnij własne wnioski na bazie nagich danych z wykresów, a nie marketingowych ulotek.

Często zadawane pytania (FAQ)

• Co to jest serwer Apache?
  Apache to otwartoźródłowy, darmowy serwer WWW stworzony w 1995 roku. Działa wieloplatformowo, najczęściej na systemach Linux. Jest podstawowym elementem popularnego stosu technologicznego LAMP (Linux, Apache, MySQL, PHP).
• Co to jest Microsoft IIS?
  Internet Information Services (IIS) to komercyjny serwer WWW wyprodukowany przez Microsoft. Jest integralną częścią systemów operacyjnych z rodziny Windows Server. Służy głównie do hostowania aplikacji napisanych w technologiach ASP.NET.
• Czy Apache jest szybszy od IIS?
  Szybkość zależy od hostowanej technologii. Apache jest generalnie szybszy w obsłudze skryptów PHP i plików statycznych na Linuksie. IIS wygrywa wydajnością i stabilnością przy uruchamianiu skompilowanych aplikacji .NET na środowisku Windows.
• Jak zmienić adresy URL w Apache?
  Do modyfikacji adresów URL w Apache wykorzystuje się moduł mod_rewrite. Reguły wpisuje się bezpośrednio do pliku tekstowego o nazwie .htaccess, który znajduje się w głównym katalogu strony.
• Czy IIS wymaga płatnej licencji?
  Sam IIS nie wymaga osobnej licencji, ale żeby go uruchomić na serwerze produkcyjnym, musisz zakupić płatną licencję na system operacyjny Windows Server.
• Który serwer wybrać do WordPressa?
  Do obsługi systemu WordPress zdecydowanie najlepiej wybrać serwer Apache (lub Nginx) zainstalowany na Linuksie. WordPress jest napisany w PHP, a to środowisko działa w tym języku najstabilniej i najtaniej w utrzymaniu.

Bibliografia i źródła wiedzy

1. Fundacja Apache – https://apache.org
2. Microsoft Learn – https://learn.microsoft.com
3. W3Techs – https://w3techs.com
4. Netcraft – https://netcraft.com
5. GitHub – https://github.com