httpd2.2访问控制与虚拟主机配置

原创

Doumadouble 2018-04-30 00:02:16 博主文章分类：应用服务 ©著作权

©著作权归作者所有：来自51CTO博客作者Doumadouble的原创作品，请联系作者获取转载授权，否则将追究法律责任

httpd2.2访问控制与虚拟主机配置

实验环境：CentOS 6.9 httpd 2.2

基础知识：

站点访问控制

可以基于两种类型的路径指明对那些资源进行访问控制文件系统路径 <Directory ""> </Direcotry> <File ""> </File> <FileMatch ""> </FileMatch> URL路径： <Location ""> </Location> ... 访问控制机制基于来源地址基于账号 Directory中“基于来源地址”实现访问控制 (1) Options 所有可用特性： Indexes Includes FollowSymLinks SymLinksifOwnerMatch ExecCGI MultiViews None, All Indexes: 索引； FollowSymlinks：允许跟踪符号链接文件； (2) 基于来源地址的访问控制机制 Order：检查次序 Order allow,deny 白名单 Order deny,allow 黑名单 Allow from Deny from 来源地址： IP NetAddr: 172.16 172.16.0.0 172.16.0.0/16 172.16.0.0/255.255.0.0 基于用户的访问控制 认证质询： WWW-Authenticate：响应码为401，拒绝客户端请求，并说明要求客户提供账号和密码；认证： Authorization：客户端用户填入账号和密码后再次发送请求报文；认证通过，则服务器发送响应的资源；认证类型： basic：明文 digest：消息摘要安全域：需要用户认证后方能访问的路径；应该通过名称对其进行标识，并用于告知用户认证的原因；虚拟账号：仅用于访问某服务时用到的认证标识；存储：文本文件 SQL数据库 ldap nis basic认证： (1) 定义安全域 <Directory ""> Options None AllowOverride None AuthType Basic AuthName "STRING" AuthUserFile "/PATH/TO/HTTPD_USER_PASSWD_FILE" Require user username1 username2 ... </Directory> 允许账号文件中的所有用户登录访问： Require valid-user (2) 提供账号和密码存储(文本文件) 使用htpasswd命令进行管理 htpasswd [options] passwordfile username -c: 自动创建passwordfile，因此，仅应该在添加第一个用户时使用； -m: md5加密用户密码； -s: sha1加密用户密码； -D: 删除指定用户 (3) 实现基于组进行认证 <Directory ""> Options None AllowOverride None AuthType Basic AuthName "STRING" AuthUserFile "/PATH/TO/HTTPD_USER_PASSWD_FILE" AuthGroupFile "/PATH/TO/HTTPD_GROUP_FILE" Require group GROUP1 GROUP2 ... </Directory> 要提供：用户账号文件和组文件；组文件：每一行定义一个组 GRP_NAME：user1 user2 user3 ...

虚拟主机 有三种实现方案：基于ip：为每个虚拟主机准备至少一个ip地址；基于port：为每个虚拟主机准备至少一个专用port；实践中很少使用；基于hostname：为每个虚拟主机准备至少一个专用hostname；可混合使用上述三种方式中任意方式；注意：一般虚拟主机莫与中心主机混用，所以，要使用虚拟主机，先禁用中心主机；禁用中心主机：注释DocumentRoot 每个虚拟主机都有专用配置： <VirtualHost "IP:PORT"> SeverName DocumentRoot "" </VirtualHost> ServerAlias: 虚拟主机的别名； ErrorLog CustomLog <Directory ""> </Directory>

实验过程：

1.基于来源地址的访问控制（源地址可以伪装适用性有限）允许的地址访问编辑/etc/httpd/conf/httpd.conf配置文件

	vim /etc/httpd/conf/httpd.conf

找到当前主目录下的 Order allow，deny字段修改allow from字段（这里的ip是你想允许访问的ip）之后保存退出重启httpd服务

service httpd restart（reload也行）

除了192.168.242.1其他机器均无法访问目标页面不允许地址访问编辑/etc/httpd/conf/httpd.conf配置文件

	vim /etc/httpd/conf/httpd.conf

找到当前主目录下的 Order allow，deny字段进行如下的修改，重启服务后可以实现禁止目标ip的访问

service httpd restart（reload也行）

2.基于用户的访问控制一般情况下有以下两种，digest方式有些浏览器不支持，适用性有限，basic明文相对比较危险，不过可以尝试通过https来实现加密有一定适用性。目前大多数的用户控制使用的是表单提交。 (1)basic：明文 (2)digest：消息摘要

环境：在/var/www/html目录下创建一个新的admin目录，在目录下新建一个内容是admin的index.html文件

编辑配置文件/etc/httpd/conf/httpd.conf

vim /etc/httpd/conf/httpd.conf

<Directory "/var/www/html/admin">
    Options None
    AllowOverride None
    AuthType Basic
    AuthName "Administator private"
    AuthUserFile "/etc/httpd/conf.d/.htpasswd"
    Require valid-user
</Directory>

保存退出后开始创建用户和密钥文件(第一次要-c之后添加用户不需要)

htpasswd -c -m /etc/httpd/conf.d/.htpasswd admin
htpasswd -m /etc/httpd/conf.d/.htpasswd user

重启httpd服务

	service httpd restart

访问对应目录下的页面会提醒输入账号和密码正确输入后显示页面内容

同时这里还可以实现基于用户组的限制访问整体方法类似用户控制，只是多了一个组文件编辑/etc/httpd/conf/httpd.conf文件

<Directory "/var/www/html/admin">
    Options None
    AllowOverride None
    AuthType Basic
    AuthName "Administator private"
    AuthUserFile "/etc/httpd/conf.d/.htpasswd"
    AuthGroupFile "/etc/httpd/conf.d/.htgroup"
    Require group admin
</Directory>

用户添加仍然使用之前的命令这里就不在添加直接做分组就好创建分组配置文件

	vim /etc/httpd/conf.d/.htgroup

保存退出后，重启httpd服务

	service httpd restart

之后访问对应页面，只有在admin组下的用户可以访问，其他用户无法访问一直在该页面循环可以正常访问

3.虚拟主机的3种实现：

在httpd2.2下启用虚拟主机的话，最好将主目录禁用编辑httpd的配置文件

	vim /etc/httpd/conf/httpd.conf

找到DocumentRoot "/var/www/html"字段，将其注释掉

基于ip 添加一块网卡创建好对应目录和页面

mkdir -pv /data/web{1,2}
echo web1 > /data/web1/index.html
echo web2 > /data/web2/index.html

在配置文件的最后写入一下字段,

	<VirtualHost 192.168.242.150:80>
							    ServerName web1.douma.com
							    DocumentRoot "/data/web1"
	</VirtualHost>
				
	<VirtualHost 192.168.242.151:80>
							    ServerName web2.douma.com
							    DocumentRoot "/data/web2"
</VirtualHost>

保存后重启服务，之后进行检验

基于port 修改配置文件

&emsp;&emsp;找到listen字段添加8080

	<VirtualHost 192.168.242.150:80>
    ServerName web1.douma.com
    DocumentRoot "/data/web1"
</VirtualHost>

<VirtualHost 192.168.242.150:8080>
    ServerName web2.douma.com
    DocumentRoot "/data/web2"
</VirtualHost>

保存后，重启httpd服务并且进行检验

基于hostname 2.2 要开启NameVirtualHost:80 项修改配置文件

NameVirtualHost 192.168.242.150:80

<VirtualHost 192.168.242.150:80>
    ServerName web1.douma.com
    DocumentRoot "/data/web1"
</VirtualHost>

<VirtualHost 192.168.242.150:80>
    ServerName web2.douma.com
    DocumentRoot "/data/web2"
</VirtualHost>

保存后重启httpd服务，这里要修改hosts文件，使其可以进行解析