整理了Nginx和Apache的基本认证和IP限制的各种设置方法（考虑到ELB的存在与否）

10 月 ago

新, 韵

4 minutes

首先

我整理了关于Nginx和Apache的基本认证以及IP限制（也考虑到Elastic Load Balancer的情况）的配置方法。

我还为AWS EC2的Amazon Linux2和Windows服务器提供了两种配置方法的总结。

IP限制的前提条件 (IP de

111.111.111.111和222.222.222.222是允许的IP地址
其他所有IP地址都要被拒绝

10.0.0.0/16 = 使用Elastic Load Balancer（ELB）的虚拟私有云的 IP 地址范围（IPv4 CIDR 等）
#IP限制（使用ELB时）

当使用ELB时，替代方案是Nginx。

server {
    listen 80;
 
    set_real_ip_from 10.0.0.0/16; # ELBを設置しているVPCのIPアドレスを指定
    real_ip_header  X-Forwarded-For;

    location /制限先ディレクトリ/ {
        allow 111.111.111.111;
        allow 222.222.222.222;
        deny all;
    }
}

由于服务器是从ELB访问的，所以需要将ELB的IP替换为客户端的IP。
因此，需要在set_real_ip_from中指定安装ELB的VPC的IP地址，并在X-Forwarded-For中存储客户端的IP，从而在real_ip_header中设置该值。
如果想要按服务器而不是目录限制权限，可以在server {}内放置allow和deny。

简易构成图
· 通常
客户端IP(xxx…)→负载均衡器IP(yyy…)→服务器
服务器对于yyy…设定IP限制

当使用X-Forwarded-For时，
客户端IP（xxx…）→ ELB IP（xxx…和yyy…）→ 服务器
服务器对xxx…进行IP限制。

当使用Apache（在ELB上）时

SetEnvIf X-Forwarded-For "111\.111\.111\.111" allowedip
SetEnvIf X-Forwarded-For "222\.222\.222\.222" allowedip
order deny,allow
deny from all
allow from env=allowedip

由于X-Forwarded-For包含客户端ID，因此需要指定要允许的IP地址。
另外，为了进行正则表达式验证，需要对句点进行转义。
本次情况下，我们将在.htaccess文件中进行设置，.htaccess可以对每个目录进行限制。
如果想要对整个Apache进行限制，则应该将其配置在apache2.conf（httpd.conf）中。

只限制IP地址（不使用负载均衡器ELB）

Nginx（不使用ELB）

server {
    listen 80;

    allow 111.111.111.111;
    allow 222.222.222.222;
    deny all;
 
    location / {
    }
}

我們已經在伺服器層面進行了限制。只需要使用「允許（allow）」和「拒絕（deny）」，如果要在目錄層面進行限制，只需把它放入目錄內即可。

Apache（未使用 ELB）

# 2.2系以前のApache
Order deny,allow
Deny from all
Allow from 111.111.111.111
Allow from 222.222.222.222

# 2.4系以降のApache
Require all denied
Require ip 111.111.111.111
Require ip 222.222.222.222

Apache的版本，其写法因版本而异。您可以使用httpd -v命令进行确认。

基本认证

Nginx（对所有访问适用）

将必要的配置内容记录在nginx.conf文件中。

server {
    listen       80;

    auth_basic "Restricted";　　　　# 認証時に表示されるメッセージ
    auth_basic_user_file /etc/nginx/.htpasswd;　　# .htpasswdファイルのパス
}

修改完nginx.conf文件后，要进行语法检查并重新启动。

$ nginx -t -c /etc/nginx/nginx.conf 
$ sudo nginx -s reload

在Nginx中(仅适用于一部分访问)

这是只对index.php应用基本认证的模式。

server {
    listen 80;

    location /index.php {
        auth_basic "Restricted";                   # 認証時に表示されるメッセージ
        auth_basic_user_file /etc/nginx/.htpasswd; # .htpasswdファイルのパス
    }
}

$ nginx -t -c /etc/nginx/nginx.conf 
$ sudo nginx -s reload

Nginx（除去一部分，适用于所有访问）

这是只对index.php不进行基本身份验证的模式。

server {
    listen 80;

    auth_basic "Restricted";　　　　# 認証時に表示されるメッセージ
    auth_basic_user_file /etc/nginx/.htpasswd;　　# .htpasswdファイルのパス

    location /index.php {
        satisfy any;  # IP制限 または Basic認証のいずれかがOKなら通す設定
        allow   all;  # すべて許可
    }
}

$ nginx -t -c /etc/nginx/nginx.conf 
$ sudo nginx -s reload

基本认证（ELB不使用）

如果不使用ELB，请在.htaccess中输入Apache + Windows。

AuthUserFile C:\Apache24\htpasswd\.htpasswd
AuthGroupfile /dev/null
AuthName "TEST WEB"
AuthType Basic
require valid-user

如果不使用ELB，则将Apache + EC2的配置信息写入.htaccess文件。

<RequireAny>
    AuthUserFile /home/xxxx/htpasswd/.htpasswd
    AuthName "Please enter your ID and password"
    AuthType Basic

    Require valid-user
</RequireAny>

<Files ~ "^\.(htaccess|htpasswd)$">
    Require all denied
</Files>

AuthUserFile是指完整路径名为.htpasswd的文件，该文件包含Basic认证的用户名和密码。
AuthName是在认证时显示的消息。
AuthType是认证类型的选择。选择Basic表示使用BASIC认证。
require valid-user表示允许经过认证的所有用户访问。

由于不希望公开显示.htpasswd文件，部分将不予列出。此部分非强制。

aaaaa:$apr1$pzWRunvc$tq0UpVBXVjSJjLnLM9LGY.

在.htpasswd文件中，将Basic认证所需的用户名和密码以用户名:经过哈希运算的密码的形式进行记录。

您可以在这个网站上自动生成用于Basic认证的.htaccess和.htpasswd文件。

AuthGroupFile /dev/null指定允许每个组访问。 “/dev/null”表示这样的文件不存在。即表示不限制每个组的访问。

如果在特定的服务器上进行记录会出现错误的情况下，请不要进行记录。

如果不使用ELB，则在httpd.conf中添加Apache + EC2的配置。

如果将目录设置为/var/www/html

<Directory "/var/www/html">
    Options FollowSymLinks
    AllowOverride All

    AuthType Basic
    AuthName "basic auth"
    AuthUserfile /etc/httpd/conf/.htpasswd
    Require valid-user
</Directory>

在中国境内，AuthUserfile的密码路径可以在任何地方都可以。

修复完 httpd.conf 文件后，请重新启动 Apache 服务。

$ systemctl restart httpd.service

如果不使用ELB，并且需要在httpd.conf中进行配置，那么Apache + Windows Server可以如下表述：

由于在Windows服务器上无法使用上述方法，因此请在httpd.conf文件中完成配置。

以下是有关位置的详细说明。

#Basic Auth
<Location "/">
    AuthType Basic
    AuthName "test basic auth"
    AuthUserFile "C:\Apache24\htpasswd\.htpasswd"
    Require valid-user
</Location>

您可以在“位置”中选择要进行基本身份验证的路径。例如，本次选择的路径是”/”，如果您填写为”/index.php”，则只有index.php会进行基本身份验证。

密码的创建方法与之前的方法相同。
.htpasswd应该放置在适当的位置。

然后，在命令提示符中重新启动Apache。

C:\Apache24\bin> httpd -k restart

基本认证（通过ELB使用并通过健康检查）

Nginx

在使用ELB时，将流量引导至Nginx并进行健康检查。

在所有路径上都进行基本身份验证。
配置在nginx.conf文件中，并将.htpasswd文件放置在/etc/nginx/目录下。
只有健康检查会通过基本身份验证。

server {
  listen 80;

  if ($http_user_agent = "ELB-HealthChecker/*") {
    set $auth off;
  }

  location / {
    auth_basic $auth;
    auth_basic_user_file /etc/nginx/.htpasswd; # .htpasswdファイルのパス
  }

在使用ELB时，排除特定路径的方式是通过Nginx来实现。

除了/test/路径，其他都需要进行基本身份验证。将.htpasswd文件放置在/etc/nginx/目录下。

server {
  listen 80;

  if ($http_user_agent = "ELB-HealthChecker/*") {
    set $auth off;
  }

  location /test/ {
    try_files $uri $uri/ /index.php?$query_string;
    satisfy any;
    allow   all;
  }

  location / {
    auth_basic $auth;
    auth_basic_user_file /etc/nginx/.htpasswd;
  }

Apache 可以被解释为阿帕奇。

当使用Apache和EC2（在ELB上）时，在.htaccess中进行配置。

设置仅通过ELB的健康检查。

# リクエストURLがヘルスチェック先の場合は、アクセスを許可
SetEnvIf User-Agent "^ELB-HealthChecker.*$" healthcheck

<RequireAny>
    AuthUserFile /home/xxxxx/htpasswd/.htpasswd
    AuthName "Please enter your ID and password"
    AuthType Basic

    # いずれかの条件を満たせばアクセス可
    Require env healthcheck
    Require valid-user
</RequireAny>

<Files ~ "^\.(htaccess|htpasswd)$">
    Require all denied
</Files>

Satisfy Any表示只要满足任何一个条件，就可以访问。

在使用Docker时，需要注意将AuthUserFile的完整路径根据Docker的路径进行调整，而不是服务器的路径。

使用Windows服务器时，将Apache与ELB配合使用（在httpd.conf文件中填写）。

这是一个设置通过 healthcheck.html 文件进行健康检查的配置。

# Basic Auth
<Location "/">
    AuthType Basic
    AuthName "test basic auth"
    AuthUserFile "C:\Apache24\htpasswd\.htpasswd"
    Require valid-user

    SetEnvIf Request_URI "/healthcheck.html" healthcheck

   # 以下の条件にマッチする場合はBasic認証なし
   <RequireAny>
     Require valid-user
     Require env healthcheck
   </RequireAny>
</Location>

Apache + Windows服务器（在使用ELB时，在httpd.conf中写入）②

如果需要通过 healthcheck.html 文件的健康检查，并且仅路由特定的子域名，则需要进行无基本认证的设置。

# Basic Auth
<Location "/">
    AuthType Basic
    AuthName "test basic auth"
    AuthUserFile "C:\Apache24\htpasswd\.htpasswd"
    Require valid-user

    SetEnvIf Request_URI "/healthcheck.html" healthcheck
    SetEnvIf Host "^do1.api\." host_ok

   # 以下の条件にマッチする場合はBasic認証なし
   <RequireAny>
     Require valid-user
     Require env healthcheck
     Require env host_ok
   </RequireAny>
</Location>

Apache与Windows服务器（在使用ELB时需在httpd.conf中填写）.

除了通过healthcheck.html文件进行健康检查，还需要仅将特定的子域名进行路由，以及在特定的IP情况下，设置为无需基本认证。

# Basic Auth
<Location "/">
    AuthType Basic
    AuthName "test basic auth"
    AuthUserFile "C:\Apache24\htpasswd\.htpasswd"
    Require valid-user

    SetEnvIf REMOTE_ADDR 222.222.222.222 valid-ip
    SetEnvIf Request_URI "/healthcheck.html" healthcheck
    SetEnvIf Host "^do1.api\." host_ok

   # 以下の条件にマッチする場合はBasic認証なし
   <RequireAny>
     Require valid-user
     Require env healthcheck
     Require env host_ok
　　　　　　　　　　Require env valid-ip
   </RequireAny>
</Location>

文献列表

apacheは↑こちらの記事を参考にしました

在Linux系统中，如何设置Nginx的基本认证。
晚上好，我是X-Forwarded-For警察。
在Apache 2.4版本中，如何设置IP限制。
在Nginx中使用基本认证。