Apache on 七三的小站

Apache2.4 访问控制

Tue, 12 Aug 2014 00:00:00 +0800

一、访问控制

在Apache2.2版本中，访问控制是基于客户端的主机名、IP地址以及客户端请求中的其他特征，使用Order(排序), Allow(允许), Deny(拒绝),Satisfy(满足)指令来实现。

在Apache2.4版本中，使用mod_authz_host这个新的模块，来实现访问控制，其他授权检查也以同样的方式来完成。旧的访问控制语句应当被新的授权认证机制所取代，即便Apache已经提供了mod_access_compat这一新模块来兼容旧语句。

这里有一些实例，用新方法取代旧语句实现相同的访问控制

实例1：所有请求都被拒绝

Apache2.2 配置:

  Order deny,allow #排序，先拒绝后允许
  Deny from all #拒绝所有

Apache2.4 配置:

  Require all denied #拒绝所有

实例2：所有请求都被允许

Apache2.2 配置:

  Order allow,deny #排序，先允许后拒绝
  Allow from all #允许所有

Apache2.4 配置:

  Require all granted #拒绝所有

实例3：example.org所有请求都被允许，其他拒绝

Apache2.2 配置:

  Order Deny,Allow #排序，先拒绝后允许
  Deny from all #拒绝所有
  Allow from example.org #允许example.org

Apache2.4 配置:

  Require host example.org #拒绝所有

二、Apache Require 指令

了解更多require指令用法：《Apache Module mod_authz_core》

附：常见访问控制指令

Require all granted #允许所有
Require all denied #拒绝所有
Require env env-var [env-var] ... #允许，匹配环境变量中任意一个
Require method http-method [http-method] ... #允许，特定的HTTP方法
Require expr expression #允许，表达式为true
Require user userid [ userid ] ... #允许，特定用户
Require group group-name [group-name] ... #允许，特定用户组
Require valid-user # #允许，有效用户
Require ip 10 172.20 192.168.2 #允许 特定IP

配置Nginx前端Apache后端服务器

Thu, 27 Jan 2011 00:00:00 +0800

一、基础知识

1.1、反向代理过程

Nginx前端，Apache后端过程其实很简单，首先用户访问的是80端口的nginx，然后nginx将静态内容留给自己，其余的转发给非80端口的apache，apache处理完毕后再回传给nginx。

1.2、Nginx location 基础

详细见《Nginx Location 指令基础》，在不同的 Location 位置添加反向代理，Nginx 前端就充当了完全不一样的角色。

二、编辑 Nginx 配置文件

vim /usr/local/nginx/conf/nginx.conf

2.1、添加"proxy_set_header"指令

编辑Nginx配置文件，在"http"字段内添加相应代码，发送发送真实IP到后端。

vim /usr/local/nginx/conf/nginx.conf

# 向后端服务器发起请求时添加指定的header头信息
proxy_set_header  Host $host;
# 向后端服务器发送真实 IP
proxy_set_header  X-Real-IP $remote_addr;
#让后端如php能直接通过变量获取真实IP
proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;

2.2、添加"proxy_pass"指令

在相应 ”location" 字段添加如下反向代理语句。这部分是难点，也是国内教程都没有提及的地方。

方法一：

将所有请求都转发给后端 apache 处理，但由于 “~*” 优先级高于 “/” ，所以图片、JS、CSS例外，“expires” 用于设置缓存时间。

location / {
    proxy_pass  http://127.0.0.1:8080;
}
location ~* \.(jpg|jpeg|gif|png)$ {
    access_log  off;
    expires  30d;
}
location ~* \.(js|css)$ {
    access_log  off;
    expires  1d;
}

方法二：

只将.php后缀的文件，交由后端 apache 处理

location ~ \.php$ {
    proxy_pass  http://127.0.0.1:8080;
}

2.3、添加高级选项（选做）

#请求连接后端服务器超时时间。即在规定时间，后端必须响应前端握手请求。
proxy_connect_timeout  30;

#后端服务器响应时间。即连接成功，在后端排队等候处理不能超过的时间。
proxy_read_timeout  60;

#后端数据回传时间。即在规定时间，后端服务器必须将所有数据回传完毕。
proxy_send_timeout  30;

#从后端服务器读取的头信息的缓冲区大小。
proxy_buffer_size  4k;

#从后端服务器读取的头信息的缓冲区数目和大小
proxy_buffers  4 32k;

如果服务器繁忙，可申请的proxy_buffers大小
proxy_busy_buffers_size  64k;

#代理缓存临时文件大小
proxy_temp_file_write_size  64k;

#代理最大缓存临时文件大小
proxy_max_temp_file_size  128m;

三、编辑 Apache 配置文件（选做）

注意：mod_rpaf 模块不是必须安装，除非你需要开启 Apache 日志，但有多此一举之嫌，因为已经有 Nginx 日志了，再开 Apache 日志话就出现重复了。

Apache rpaf 模块作用是获取Nginx转发过来的真实IP，否则在Apache日子中来访IP全部为127.0.0.1。

wget http://stderr.net/apache/rpaf/download/mod_rpaf-0.6.tar.gz
tar zxvf mod_rpaf-0.6.tar.gz
cd mod_rpaf-0.6
/usr/local/www/apache/bin/apxs -i -c -n mod_rpaf-2.0.so mod_rpaf-2.0.c

vim /usr/local/apache/conf/httpd.conf LoadModule rpaf_module modules/mod_rpaf-2.0.so
RPAFenable On
RPAFproxy_ips 127.0.0.1
RPAFsethostname On
RPAFheader X-Forwarded-For

Apache2.2 使用 FastCGI 模块方法

Tue, 25 Jan 2011 00:00:00 +0800

一、编译与安装 FastCGI 模块

wget http://www.fastcgi.com/dist/mod_fastcgi-2.4.6.tar.gz
tar -zxf mod_fastcgi-2.4.6.tar.gz
cd mod_fastcgi-2.4.6
cp Makefile.AP2 Makefile
make top_dir=/usr/local/apache
make install top_dir=/usr/local/apache

二、编辑 Apache2.2 配置文件

2.1、载入FastCGI模块

vim /usr/local/apache/conf/httpd.conf

LoadModule fastcgi_module modules/mod_fastcgi.so

2.2、设置php文件后缀及解析器

查找并在 “IfModule mime_module” 内添加下面代码

<IfModule mime_module>
AddHandler php-fastcgi .php 
Action php-fastcgi /fcgi-bin/php-fpm
ScriptAlias /fcgi-bin/ /var/fcgi-bin/
</IfModule>

2.3、添加FastCGIExternalServer及目录属性

<IfModule fastcgi_module>
    FastCGIExternalServer /var/fcgi-bin/php-fpm -host 127.0.0.1:9000
</IfModule>

<Directory "/var/fcgi-bin/">
Options none
Order allow,deny
Allow from all
</Directory>

三、作用原理

首先对 .php 后缀的文件使用 php-fastcgi (可随便起名)解析器。
然后发现php-fastcgi不是内置的解析器。
于是使用 action 指令定义该解析器，它实际上是 /var/php-fastcgi/ 目录下的一个叫 php-fpm 虚拟的文件。
但是 apache 并不知道 /var/php-fastcgi/ 目录下的文件是需要执行的，必须用 ScriptAlias 定义个别名 /fcgi-bin/ 他实际指向/var/fcgi-bin/。（根据上文，ScriptAlias 别名内的文件会被执行，所以上面的action只能为 /fcgi-bin/php-fpm 而不能/var/fcgi-bin/php-fpm
最后哪个虚拟文件其实就是127.0.0.1:9000了（必须全路径，不能使用/fcgi-bin/php-fpm）

Apache2.2 内置CGI 模块使用方法

Mon, 24 Jan 2011 00:00:00 +0800

一、基础知识

1.1、什么是 CGI？

简单说 CGI 是一种口，所有对 CGI 文件的访问请求，Web 服务器必须先作执行处理而不能直接把内容返回浏览器。

1.2、什么是 Apache PMA

Apache PMA，即多路处理模块，详细介绍见，apache2.2 官方文档

apache2.2 默认使用 prefork ，如果需要选择 worker ，那么必须在apache2.2 编译时使用“–with-mpm=” 选项静态编译进核心。可通过"httpd -l"查询当前的PMA模式。

prefork 采用进程的方式，Worker 采用进程与线程混合方式，海量的请求时，prefork 较快但耗资源，worker 相反。

1.3、mod_cgi 和 mod_cgid 区别

Apache PMA 为 prefork 时使用mod_cgi模块，PMA 为worker 时使用mod_cgid模块。详细介绍见文档 Apache Module mod_cgi、Apache Module mod_cgid。即在用户层面，这两个模块本质上是相同的。

二、执行 CGI 的方法

2.1、指定ScriptAlias目录为CGI文件目录

在 ScriptAlias 目录的文件均被认为是 CGI i脚本，另外要设置该目录属性，但无需添加 ExecCGI 选项。

指定目录别名及路径，注意是“ScriptAlias”而不是“Alias”

ScriptAlias /cgi-bin/ "/usr/local/apache/cgi-bin/"

设置该目录属性，绝对路径，千万不要漏了 “Allow from all” 切记！

<Directory "/usr/local/apache/cgi-bin">
    AllowOverride None
    Options None
    Order allow,deny
    Allow from all
</Directory>

2.2、指定特定文件后缀为CGI文件

在 ScriptAlias 目录的文件均被认为是 CGI i脚本，那么目录之外是否可以？可以！但要指定后缀、设置目录属性，且启用ExecCGI选项。

指定后缀有两种方法，一是定义MIME类型为application/x-httpd-cgi，二是使用 AddHandler 或 SetHandler 指令激活内置的 cgi-script 处理器

AddType application/x-httpd-cgi .cgi #方法一
AddHandler cgi-script .cgi #方法二

设置CGI的目录属性，必须在Options指令中启用ExecCGI选项

<Directory "/usr/local/apache/htdocs/cgi-bin">
Options ExecCGI
AllowOverride None
Order allow,deny
Allow from all
</Directory>

Apache 添加 OpenSSL 支持

Sat, 15 Jan 2011 00:00:00 +0800

一、加载 Apache SSL 模块

如果已经安装过 apache2.2 ，现在需要额外添加 SSL 支持，那么你需要重新编译安装一次 apache2。

编辑 httpd.conf，分别查找下面2行代码，并去掉前面的#

vim /usr/local/apache/conf/httpd.conf 
LoadModule ssl_module modules/mod_ssl.so
Include conf/extra/httpd-ssl.conf

二、编辑 Apache SSL 配置文件

这只是一个最简单的配置文件，更多知识见《Apache的SSL/TLS加密》、《ssl.conf配置文件简要说明》、《OpenSSL安装与配置指南》

cd /usr/local/apache/conf/extra/
mv httpd-ssl.conf httpd-ssl.conf.bak #备份
vim httpd-ssl.conf #编辑，填入下面内容。

Listen 443

<VirtualHost *:443>
ServerAdmin you@example.com
DocumentRoot "/usr/local/apache/htdocs"
ServerName wangyan.org
ErrorLog "/usr/local/apache/logs/error_log"

SSLEngine on

SSLCertificateFile "/usr/local/apache/conf/ssl.crt"
SSLCertificateKeyFile "/usr/local/apache/conf/ssl.key"
</VirtualHost>

三、Firefox 浏览器设置

因为服务器证书是自建CA自签署的，所以浏览器会出现警告，比如Firefox警告“此连接是不受信任的”。

4.1、导入CA根证书

Firefox，编辑–首选项–高级–加密–证书机构–导入位于 /usr/local/ssl/demoCA/ucacert.pem

4.2、导入服务器证书

服务器选项卡，先导入/usr/local/ssl/demoCA/certs，然后编辑权限。

Debian/Ubuntu 从源码编译安装 Apache 2

Fri, 14 Jan 2011 00:00:00 +0800

在六大Web服务器软件，Apache、IIS、Lighttpd、Nginx、LiteSpeed、Zeus中，Apache 的世界使用量排名始终位居榜首，并且Apache 安装简单，参考资料众多，所以绝对是Web 服务器软件的首选。

一、准备工作

系统版本：Ubuntu-10.10-Server-I386

1.1、安装基础编译环境

aptitude  install build-essential

1.2、编译安装 Zlib 库

wget http://zlib.net/zlib-1.2.5.tar.gz
tar -zxf zlib-1.2.5.tar.gz
cd zlib-1.2.5/
./configure --prefix=/usr/local
make && make install

1.3、安装 OpenSSL （可选）

详细安装见《Linux 从源码编译安装 OpenSSL》

二、编译安装 Apache2.2

这是 apache2.2 安装最大的难点，详细说明见 apache2.2 中文文档配置源代码树部分，其中关于模块选项。

我的选择（推荐）

wget http://www.apache.org/dist/httpd/httpd-2.2.17.tar.gz
tar -zxf httpd-2.2.17.tar.gz
cd httpd-2.2.17/
./configure  --prefix=/usr/local/apache --enable-mods-shared=most --enable-ssl=shared --with-ssl=/usr/local
make && make install

使用模块有两种方法：一是静态连接进核心，二是作为DSO模块动态加载

--enable-mods-shared=most 动态加载大部分模块
--enable-ssl=shared 动态加载 mod-ssl 模块
--enable-ssl=static 静态加载 mod-ssl 模块

另一种选择

./configure  --enable-so --enable-rewrite --enable-ssl --with-ssl=/usr/local

上面意思是将 mod_so 和 mo_rewrite、ssl 模块静态编译进 apache（还可以添加更多模块），mod_so 作用是允许 apache 以后运行时作为 DSO 模块动态加载，等同于 –enable-modules=so

三、启动Apache服务器

两种方法，可以使用 apachectl 或者 httpd 皆可。简单说 apachectl 是控制器，可以开、关、重启 apache ，是启动脚本。httpd 是后台守护进程，是apache的主程序。因此apachectl中必须指明httpd路径。（更多介绍）

将apachectl加入系统变量中，即直接编辑/etc/environment文件，或者新建软链接。

ln -s /usr/local/apache/bin/apachectl /usr/local/bin
ln -s /usr/local/apache/bin/httpd /usr/local/bin

sudo apachectl -k start
sudo apachectl -k stop
sudo apachectl -k restart

四、开机自动启动 Apache

这里首先要清楚什么是运行级别，详细介绍见《Ubuntu系统update-rc.d命令详解》

方法一（推荐）

ln -s /usr/local/apache/bin/apachectl /etc/init.d/
update-rc.d apachectl defaults

方法二（图形界面）

sudo install sysv-rc-conf
sudo sysv-rc-conf //找到apachectl 将其2，3，4，5都选中

五、其他

5.1、Apache 升级

除非有大的版本号变动，否则可按原编译选项重新编译安装即可。

./configure  --prefix=/usr/local/apache --enable-mods-shared=most --enable-ssl=shared --with-ssl=/usr/local
 make && make install
apachectl -k graceful-stop
apachectl -k start

5.2、Apache 配置

详细 Apache2.2 配置见《Linux 从源码编译安装及配置 PHP 5》

Apache on 七三的小站

Apache2.4 访问控制

目录

一、访问控制

实例1：所有请求都被拒绝

实例2：所有请求都被允许

实例3：example.org所有请求都被允许，其他拒绝

二、Apache Require 指令

配置Nginx前端Apache后端服务器

目录

一、基础知识

1.1、反向代理过程

1.2、Nginx location 基础

二、编辑 Nginx 配置文件

2.1、添加"proxy_set_header"指令

2.2、添加"proxy_pass"指令

方法一：

方法二：

2.3、添加高级选项（选做）

三、编辑 Apache 配置文件（选做）

Apache2.2 使用 FastCGI 模块方法

目录

一、编译与安装 FastCGI 模块

二、编辑 Apache2.2 配置文件

2.1、载入FastCGI模块

2.2、设置php文件后缀及解析器

2.3、添加FastCGIExternalServer及目录属性

三、作用原理

Apache2.2 内置CGI 模块使用方法

目录

一、基础知识

1.1、什么是 CGI？

1.2、什么是 Apache PMA

1.3、mod_cgi 和 mod_cgid 区别

二、执行 CGI 的方法

2.1、指定ScriptAlias目录为CGI文件目录

2.2、指定特定文件后缀为CGI文件

Apache 添加 OpenSSL 支持

目录

一、 加载 Apache SSL 模块

二、编辑 Apache SSL 配置文件

三、Firefox 浏览器设置

4.1、导入CA根证书

4.2、导入服务器证书

Debian/Ubuntu 从源码编译安装 Apache 2

一、准备工作

1.1、安装基础编译环境

1.2、编译安装 Zlib 库

1.3、安装 OpenSSL （可选）

二、编译安装 Apache2.2

我的选择 （推荐）

另一种选择

三、启动Apache服务器

四、开机自动启动 Apache

方法一（推荐）

方法二 （图形界面）

五、其他

5.1、Apache 升级

5.2、Apache 配置

一、加载 Apache SSL 模块

我的选择（推荐）

方法二（图形界面）