httpd访问控制

为了更好地控制对网站资源的访问，可以为特定的网站目录添加访问授权。

🥓作用

控制对网站资源的访问

为特定的网站目录添加访问授权

常用访问控制方式

客户机地址限制

用户授权限制

🥓基于客户端地址的访问控制

使用Require配置项实现访问控制，按先后顺序限制可用于<Location>、<Directory>、<Files>、<Limit>配置段中，注：not表示拒绝

🥓用户授权限制

创建用户认证数据库

添加用户授权配置

验证用户访问授权

🥓虚拟Web主机

在同一台服务器中运行多个Web站点，其中每一个站点并不独立占用一台真正的计算机。

🥓httpd支持的虚拟主机类型

基于域名的虚拟主机

基于IP地址的虚拟主机

基于端口的虚拟主机

实验步骤

客户机地址限制

Require配置项的常见语法

Require all granted——表示允许所有主机访问。

Require all denied——表示拒绝所有主机访问。

Require local——表示仅允许本地主机访问。

Require [not] host <主机名或域名列表>

Require [not] ip <ip地址或网段列表>

🍓注：not表示拒绝

通常情况下，网站服务器是对所有客户机开放的，网页文档目录未做任何限制，因此使用的是Require all granted策略，表示允许从任何客户机访问，具体配置如下。

1. vim /usr/local/httpd/conf/httpd.conf
2. 文本下搜索 
3. <Directory "/usr/local/httpd/htdocs">
4.  ......//省略部分内容
5.  Require all granted         //添加（默认有）
6.  </Directory>

若只希望禁止来自一个内网网段和一个IP地址。但允许其他任何主机访问，可以使用如下限制策略。

1. vim /usr/local/htpd/conf/httpd.conf
2.  搜索 <Directory "/usr/local/httpd/htdocs">
3. <RequireAll>                    //加
4. Require all granted
5. Require not ip 192.168.1.10 192.168.2.0/24       //添加要禁止的网段或主机
6. </RequireAll>                   //加
7. </Directory>

未做路径优化的重启apachectl服务

/usr/local/httpd/bin/apachectl restart

重启后，未被授权的客户机访问网站目录时，将会拒接访问。

因为本机地址为1.100，客户机1.10所以访问被拒绝。修改成1.0网段没有地址冲突的地址即可访问。

修改地址后可以访问的默认网页

用户授权限制

基于用户的访问控制包含认证（Authentication）和授权(Authorization）两个过程，是Apache允许指定用户使用用户名的密码访问特定资源的一种方式。

httpd服务器支持使用摘要认证（Digest）和基本认证（Basic）两种方式。使用摘要认证需要在编译httod之前添加“--enable-auth-digest” 选项，但并不是所有的浏览器都支持摘要认证；而基本认证是httpd服务的基本功能，不需要预先配置特别选项。

创建用户认证数据文件

httpd的基本认证通过校验用户名，密码组合来判断是否允许用户访问。使用专门的htpasswd工具程序，可以创建授权用户数据文件，并维护其中的用户账号。

使用htpasswd工具时，必须指定用户数据文件的位置，添加“-c”选项表示新建此文件。

创建zhang3用户，/.awspwd为存放目录，新密码输入两次。

1.  [root@localhost ~]# cd /usr/local/httpd
2.  [root@localhost httpd]# bin/htpasswd -c /usr/local/httpd/conf/.awspwd zhang3
3.  New password: 
4.  Re-type new password: 
5.  Adding password for user zhang3
6.  [root@localhost httpd]# cat /usr/local/httpd/conf/.awspwd 
7.  zhang3:$apr1$T1/SEmVK$k7VqIYih78oHFcfst3a.B/

已创好/.awpwd目录后创建用户取消“-c”选项，创建li4用户

1.  [root@localhost httpd]# bin/htpasswd /usr/local/httpd/conf/.awspwd li4
2.  New password: 
3.  Re-type new password: 
4.  Adding password for user li4
5.  [root@localhost httpd]# cat /usr/local/httpd/conf/.awspwd 
6.  zhang3:$apr1$T1/SEmVK$k7VqIYih78oHFcfst3a.B/
7.  li4:$apr1$SLNy2tvP$H36ifUr/wsz.klI1cY1bt0

添加用户授权配置

有了授权用户之后还需要修改httpd.conf 配置文件，在特定的目录区域中添加授权配置，以启用基本认证并配置允许哪些用户访问。例如，若只允许.awspwd 数据文件中的任何一用户访问网页，可以执行以下操作。

🍓注：客户机地址限制的配置需要Require all granted改成Require all denied或者注释掉。

1. <RequireAll>
2. # Require all granted                // 加#号注释掉，其他不用改
3.  Require not ip 192.168.1.10 192.168.2.0/24
4. </RequireAll>

1. [root@localhost ~]# vim /usr/local/httpd/conf/httpd.conf
2.  搜索此文件 <Directory "/usr/local/httpd/htdocs">
3.  ......省略部分
4. 输入以下四行配置
5. authname "123.com"
6. authtype basic
7. authuserfile /usr/local/httpd/conf/.awspwd
8. require valid-user
9.  [root@localhost ~]# systemctl restart httpd.service

上述配置文件内容中，相关配置项的含义如下：

authname:定义受保护的领域名称，该内容将在浏览器弹出的认证对话框中显示。

authtype：设置认证的类型，basic表示基本认证。

authuserfile：设置用于保存用户账号，密码的认证文件路径。

require valid-user：要求只有认证文件中的合法用户才能访问。

🍓需要注意的是，用户访问授权与主机访问控制同时设置时，设置的主机访问控制优先生效。

验证用户访问授权

当再次访问网站的默认首页时，浏览器会首先弹出认证对话框。

构建虚拟web主机

基于域名的虚拟主机：相同IP，相同端口号，不同域名。

基于IP地址的虚拟主机：不同IP相同端口。

基于端口的虚拟主机: 相同IP，相同域名，不同端口号。

基于域名的虚拟主机

为虚拟主机提供域名解析

🥠安装DNS

没有DNS需要安装，有的话可省略此部分

挂载系统盘安装源码包

1. [root@localhost ~]# mount /dev/cdrom /media
2. mount: /dev/sr0 写保护，将以只读方式挂载
3. [root@localhost ~]# cd /media/Packages/
4. [root@localhost Packages]# rpm -ivh bind-9.9.4-37.el7.x86_64.rpm bind-chroot-9.9.4-37.el7.x86_64.rpm

主配置文件

[root@localhost ~]# vim /etc/named.conf

配置如图，将红框中的两行删除

添加两个区域

1. zone "123.com" in {
2. type master;
3.         file "123.com.zone";
4. };
5. zone "456.com" in {
6. type master;
7.         file "456.com.zone";
8. };
9.

区域数据1文件（正向）

[root@localhost ~]# vim /var/named/123.com.zone

文件内配置

1. $ttl 86400
2. @ in    soa     123.com.        admin.123.com. (
3. 201801
4. 3h
5. 15m
6. 1w
7. 1d
8. )
9. in      ns      ns1.123.com.
10. ns1     in      a       192.168.1.100
11. www     in      a       192.168.1.100

区域数据2文件（正向）

[root@localhost ~]# vim /var/named/456.com.zone

文件内配置

1. $ttl 86400
2. @ in soa        456.com.      admin.456.com. (
3.        202253
4.        3h
5.        15m
6.        1w
7.        1d
8. )
9.        in      ns      ns1.456.com.
10. ns1     in      a       192.168.1.100
11. www     in      a       192.168.1.100

重启服务

systemctl   restart named

排错(OK直接跳过)

检查/etc/named.conf文件：

named-checkconf  -z   /etc/named.conf

检查正向和反向数据文件：

named-checkzone  123.com  /var/named/123.com.zone

为每个虚拟web主机准备网站目录及网页文档。

1. [root@localhost ~]# mkdir -p /var/www/html/123com
2. [root@localhost ~]# mkdir -p /var/www/html/456com
3. [root@localhost ~]# echo "<h1>www.123.com</h1>" > /var/www/html/123com/index.html
4. [root@localhost ~]# echo "<h1>www.456.com</h1>" > /var/www/html/456com/index.html

添加虚拟主机配置

1. [root@localhost ~]# vim /usr/local/httpd/conf/extra/httpd-vhosts.conf 
2. 
3.  <VirtualHost *:80>                                   虚拟站点区域          
4.      ServerAdmin 123@.com                            邮箱
5.      DocumentRoot "/var/www/html/123com"             网站根目录 
6.      ServerName www.123.com                          完整名称（别名）
7.      ErrorLog "logs/www.123.com-error_log"           错误日志
8.      CustomLog "logs/www.123.com-access_log" common  访问日志
9.      <directory "/var/www/html">                     设置访问权限
10.      require all granted
11.      </directory>
12.  </VirtualHost>
13.  
14.  <VirtualHost *:80>
15.      ServerAdmin 456@.com
16.      DocumentRoot "/var/www/html/456com"
17.      ServerName www.456.com
18.      ErrorLog "logs/www.456.com-error_log"
19.      CustomLog "logs/www.456.com-access_log" common
20.      <directory "/var/www/html">
21.      require all granted
22.      </directory>
23.  </VirtualHost>

加载独立的配置文件

1.  [root@localhost ~]# vim /usr/local/httpd/conf/httpd.conf
2.  # nclude conf/extra/httpd-vhosts.conf   取消#注释

重启服务

/usr/local/httpd/bin/apachectl restart

在本机访问虚拟web主机。注意，这里要在本地主机访问，如果在其他服务器需要修改本地hosts文件

基于IP地址的虚拟主机

对于基于IP地址的虚拟主机，每个虚拟web主机各自使用不同的IP地址，但是都通过同一台httpd服务器对外提供web浏览服务。

虚拟机临时配置IP命令如下

1. [root@localhost ~]# ifconfig ens33:2 192.168.1.200
2.  [root@localhost ~]# vim /usr/local/httpd/conf/extra/httpd-vhosts.conf
3.  
4.  插入模式下网站1（不同地址相同端口）
5.  <VirtualHost *:80>改成<VirtualHost 192.168.1.100:80>
6.          网站2
7. <VirtualHost *:80>改成 <VirtualHost 192.168.1.200:80>
8.  加载独立的配置文件
9.  [root@localhost ~]# vim /usr/local/httpd/conf/httpd.conf
10.  # nclude conf/extra/httpd-vhosts.conf   取消#注释
11.  [root@localhost ~]# systemctl restart httpd

在客户机上访问虚拟web主机

基于端口的虚拟主机

基于端口的虚拟机通常只用于同一个web站点，其针对的网站名称、、IP地址往往都是相同的，但通过不同的TCP端口来提供不同网页内容的服务入口。

配置基于端口的虚拟web主机时，需要通过多个 Listen配置项来指定要监听的TCP端口号，每个虚拟web主机的VirtualHost配置中应同时指定IP地址和端口号。

🍓特别注意的是基于端口的虚拟主机需要监听端口号，如Listen 80。

1. [root@localhost ~]# vim /usr/local/httpd/conf/extra/httpd-vhosts.conf 
2.  <VirtualHost 192.168.1.100:80>  加端口号
3.    ......
4.  
5.  <VirtualHost 192.168.1.100:8080>
6.    ......
7. #在最后面空白地方加，不要加在模块内
8.  Listen 80                       监听80端口
9.  Listen 8080                     监听8080端口

加载独立的配置文件并重启

1. [root@localhost ~]# vim //usr/local/httpd/conf/httpd.conf
2.  # nclude conf/extra/httpd-vhosts.conf   取消#注释
3.  [root@localhost ~]# systemctl restart httpd

访问时，默认是80端口，第二个网站需要添加8080端口。

web网站服务（二）

httpd访问控制

实验步骤

客户机地址限制

用户授权限制

创建用户认证数据文件

添加用户授权配置

验证用户访问授权

构建虚拟web主机

基于域名的虚拟主机

基于IP地址的虚拟主机

基于端口的虚拟主机

热门文章

最新文章

相关课程

相关电子书

相关实验场景