Дозволити доступ до віртуального хоста Apache лише з локальної мережі

У мене є веб-сторінка на сервері Linux, яким я адмініструю, працює під управлінням Apache 2.2. Цей сервер видно зовнішньому світу для деяких інших послуг.

Я хотів би налаштувати Apache так, щоб даний віртуальний хост був видно лише з внутрішньої локальної мережі, тому я можу розгорнути веб-додаток, щоб отримати зворотній зв'язок від інших людей в моїй організації. Я вважаю, що це стосується директиви Allow, але мої експерименти не йдуть добре.

Як я можу змінити свій конфігураційний файл, щоб досягти цього? Чи потрібно також змінити конфігурацію брандмауера?

Легко. Просто встановіть щось подібне в основній конфігурації або у віртуальній конфігурації:

<Directory /var/www/path/to/your/web/documents>

  Order Deny,Allow
  Deny from all
  Allow from 127.0.0.1 ::1
  Allow from localhost
  Allow from 192.168
  Allow from 10
  Satisfy Any

</Directory>

В <Directory></Directory>заяві в основному сказано: "Використовуйте ці правила для будь-чого в цьому каталозі. І "цим каталогом", який посилається на те, /var/www/path/to/your/web/documentsщо я вказав у цьому прикладі, але його слід змінити, щоб він відповідав локальному шляху вашого веб-сайту.

Далі в межах <Directory></Directory>області ви змінюєте поведінку Apache за замовчуванням, яке Allowвсе за замовчуванням Order Deny,Allow. Далі ви встановлюєте Deny from allвідмову в доступі від усіх. Продовження - це Allow fromзаяви, які дозволяють отримати доступ з 127.0.0.1 ::1(localhost IP-адреса), localhost(локальний хост). Ось і все стандартне. Оскільки доступ з localhostпотрібен для багатьох внутрішніх системних процесів.

Далі йде матеріал, який важливий для вас.

Allow fromДля 192.168, а також 10дозволить отримати доступ з будь-яких / всіх мережевих адрес в межах діапазону мережі, передує цими цифрами.

Отже, вказуючи, 192.168що це в основному означає, якщо користувач має таку адресу, 192.168.59.27або 192.168.1.123він зможе побачити веб-сайт.

І точно так само , використовуючи Allow fromдля 10префікса запевняє , що якщо хто - то має IP - адреса 10.0.1.2або навіть 10.90.2.3вони зможуть побачити вміст.

Практично всі внутрішні мережі у світі використовують або 192.168діапазон, або щось у цьому 10діапазоні. Нічого зовнішнього. Таким чином, використовуючи це комбо, ви досягнете своєї мети заблокувати доступ до зовнішнього світу, але дозволите доступ лише з локальної мережі.

Люди, які перебувають у цій відповіді, зауважте, що це специфічно для Apache 2.2.

Apache 2.4 знецінив ці директиви.

Новий спосіб - використання модуля mod_authz_hostта Requireдиректив. ( посилання )

У Apache 2.4 вам слід зробити

<Directory /var/www/ncp-web/>
  Require host localhost
  Require ip 127.0.0.1
  Require ip 192.168
  Require ip 10
</Directory>

та видаліть усі дозвольні директиви.

Додайте цей розділ до директиви вашого віртуального хоста:

<Location /mypathurl>
    Order deny,allow
    Deny from all
    Allow from 192.168.1.10
</Location>

Замініть свій IP-адресу вище. Це не повинно використовуватися для забезпечення фінансового рівня, БЮР.

Я не знаю, як у вас налаштована мережа, однак я припускаю, що колись спробую зробити кращу відповідь.

Припустимо, у вас є невеликий офіс із з'єднанням DSL. У вас буде статична загальнодоступна IP-адреса або блок адрес, призначений вашій лінії, DSL-модем та брандмауер. Не вдаючись у деталі, як це відбувається, я перейду до важливої ​​частини.

Ви повинні використовувати NAT (переклад мережевої адреси). Це дозволяє публічним IP-адресам розміщуватись у мережі WAN (Internet) вашої мережі та використовувати приватні IP-адреси (наприклад, 10.0.0.100) у межах мережі на стороні локальної мережі. Це стандартна операційна процедура. Якщо ви розміщуєте веб-сервер у вашій мережі, ви використовуєте переадресацію портів або інший подібний механізм), щоб навести будь-який веб-трафік на ваш веб-сервер.

У цьому стандартному сценарії всі ваші внутрішні комп'ютери будуть використовувати приватні IP-адреси.

Якщо припустити, що у вас є аналогічна стандартна мережева установка, ви змінили IP-адресу свого комп'ютера з загальнодоступної IP-адреси на приватну IP-адресу. У вашій мережі може бути налаштовано DHCP, де ваш комп'ютер може запросити доступну IP-адресу. Це означає, що замість того, щоб вказати IP-адресу, ви вирішите використовувати DHCP і буде призначено IP-адресу. Якщо DHCP недоступний, вам доведеться перевірити на деяких інших комп’ютерах приватний простір IP-адреси, який може бути використаний, і вибрати IP-адресу в просторі, який не використовується. Ви можете вказати цю невикористану IP-адресу в налаштуваннях мережі. Це повинно перешкоджати погляду вашої системи в Інтернеті.