apache 2.4.54 (httpd) 不需要 ip 不阻止 ip 地址

Question

我想知道您是否可以简化配置以准确找出哪些地方不起作用？以下操作似乎完全符合预期：

<VirtualHost *:80>
    ServerName www.mysite.com

    <Directory /var/www/html/protected>
        <RequireAll>
            Require not ip 192.168.1.200
            Require not ip 192.168.1.201
            Require all granted
        </RequireAll>
    </Directory>
</VirtualHost>

如果我从不在拒绝列表中的地址访问它，它可以正常工作：

$ curl -H 'Host: www.mysite.com' 192.168.122.67/protected/
<!DOCTYPE html>
<html lang="en">
  <head>
    <meta charset="utf-8" />
    <title>Root</title>
  </head>

  <body>
This is the protected document.
  </body>
</html>

但如果我从禁止的 IP 访问，我会收到响应403 Forbidden：

$ curl -H 'Host: www.mysite.com' 192.168.122.67/protected/ --interface 192.168.1.200
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access this resource.</p>
</body></html>

您能重现该行为吗？首先尝试一下，如果可行，则开始引入配置的其他部分，直到行为发生变化。

如果您的 Web 服务器位于代理后面，则需要稍微不同的解决方案。首先，您需要确保您的前端代理在 HTTP 标头中为您提供原始客户端地址，例如X-Forwarded-For或者Forwarded。

您有以下几种选择：

您可以直接匹配标头。例如，如果原始客户端 IP 位于X-Forwarded-For，我们可以阻止特定客户端的访问，如下所示：

<Directory "/usr/local/apache2/htdocs">
    Options Indexes FollowSymLinks
    AllowOverride None

    Require expr %{HTTP:X-Forwarded-For} != '172.25.0.1'
</Directory>

您可以告诉 Apache 将标头中的 IP 地址视为客户端地址，以便使用mod_remoteip模块。

在这种情况下，您可能有：

LoadModule remoteip_module modules/mod_remoteip.so
RemoteIPHeader X-Forwarded_for

<Directory "/usr/local/apache2/htdocs">
    Options Indexes FollowSymLinks
    AllowOverride None

    Require not ip 172.25.0.1
</Directory>

Answer 1