Apache安全配置规范

课程名称实验二：典型安全通信协议的配置使用(Apache)实验报告目录一．实验名称 (1)二．实验目标 (1)三．实验内容 (1)四．实验步骤 (1)五．实验遇到的问题及其解决方法 (10)六．实验结论 (11)一．实验名称实验二：典型安全通信协议的配置使用(Apache)二．实验目标通过网络层安全通信协议和传输层通信协议的配置，理解网络安全的层次概念。

三．实验内容结合APache的配置了解SSL协议的使用。

SSL协议的使用过程：两者先各自向Boss申请证书，在每次进行通信时，先有客户端与服务器端商定一个 session Key ，然后以此session key进行会话，（当然是以证书为基准的）1.SSL握手协议：通过截包软件Wireshark，可以截获通信数据包中，client hello的https数据包。

2.更改密码规格协议:过了一段时间后，需要商定一个新的session key？3.SSL报警协议：即通过安全证书，SSL协议通信时，用户会得到安全通信协议的通知。

4.SSL记录协议：即记录整个加密传输过程，以便另一端解密使用四．实验步骤1.首先到Apache官网下载Apache+OpeSSL的整合安装包并安装；2.单击“开始——管理计算机——本地用户和组——用户”，右键单击添加新User用户Apache（此步是为了后面赋予Apache服务器对应的用户运行权限，确保Web访问者用指定的帐号访问服务器而不是本地用户或管理员帐号访问本地文件）为服务器登录”，并添加刚才新建的用户“Apache”；4.单击“开始——管理工具——服务”，首先停止Apache 2.2的服务，搜后右键单击选择属性，将单选框从“本地帐户”切换到“此帐户”并填入Apache 的用户名和密码；5.找到Apache的安装目录（在本例中为C:\apache 2.2），右键单击“属性——安全”，添加Apache用户并赋予Apache用户对于Apache安装目录的读取和写入的权利；此时重启Apache服务，方能正常重新启动；6.首先从\conf\extra将http-ssl.conf文件拷贝到conf目录下，打开并查找到#LoadModule ssl_module modules/mod_ssl.so将前面的#注释去掉打开SSL模块；7.在httpd.conf中找到# Secure (SSL/TLS) connections并在下添加入下行：Include conf/httpd-ssl.conf8.打开cmd，更改当前目录之Apache安装目录下的bin文件夹下，输入命令openssl genrsa –out ca.key 1024此命令用户生成CA证书中心自签所用的密钥对，其中genrsa用于生成RSA 密钥对的OpenSSL 命令。

Apache服务器安全配置基线中国移动通信有限公司管理信息系统部2012年 04月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。

目录第1章概述 (4)1.1目的 (4)1.2适用范围 (4)1.3适用版本 (4)1.4实施 (4)1.5例外条款 (4)第2章日志配置操作 (5)2.1日志配置 (5)2.1.1审核登录 (5)第3章设备其他配置操作 (6)3.1访问权限 (6)3.1.1禁止访问外部文件 (6)3.2防攻击管理 (6)3.2.1错误页面处理 (7)3.2.2目录列表访问限制 (7)3.2.3拒绝服务防范 (8)3.2.4删除无用文件 (8)3.2.5隐藏敏感信息 (9)3.2.6Apache账户安全* (9)3.2.7限制请求消息长度 (10)第4章评审与修订 (11)第1章概述1.1目的本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的Apache服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行Apache服务器的安全配置。

1.2适用范围本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。

本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的Apache 服务器系统。

1.3适用版本2.0.x、2.2.x版本的Apache服务器。

1.4实施本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。

本标准发布之日起生效。

1.5例外条款欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。

第2章日志配置操作2.1日志配置2.1.1审核登录第3章设备其他配置操作3.1访问权限3.1.1禁止访问外部文件3.2防攻击管理3.2.1错误页面处理3.2.2目录列表访问限制3.2.3拒绝服务防范3.2.4删除无用文件3.2.5隐藏敏感信息3.2.6Apache账户安全*3.2.7限制请求消息长度范文范例指导参考第4章评审与修订本标准由中国移动通信有限公司管理信息系统部定期进行审查，根据审视结果修订标准，并颁发执行。

Apache下关于虚拟主机的配置关于虚拟主机的概述：配置虚拟主机主要应用场景：多站点访问，一个服务器放置了多个站点服务。

主要的三种配置方法：1、基于IP 2、基于端口3、基于主机名步骤详解：1.虚拟主机使用的话，必须将中心服务关闭，在/etc/httpd/conf/httpd.conf文件里，将DocumentRoot一行注释掉来关闭中心服务。

2.可以在httpd.conf文件最后面直接添加虚拟主机的配置内容，也可以在/etc/httpd/conf.d/下面创建一个自己的配置文件，如：my.conf文件。

3.my.conf文件配置详解1）基于IP配置<VirtualHost 192.168.0.112:80>ServerName DocumentRoot "/www/"</VirtualHost><VirtualHost 192.168.0.113:80>ServerName DocumentRoot "/www/"</VirtualHost>以上2个虚拟主机配置的IP分别为192.168.0.113和192.168.0.112，端口同为80端口。

这样在浏览器分别输入不同的ip或域名时就会访问到不同的站点。

Tips：如果只有一块网卡可以同过ipaddr add 192.168.0.112 dev eth0来添加辅助ip。

如果是域名方式访问，还需要在windows和linux下的hosts文件里面自行添加域名解析。

关于辅助ip的设置：ipaddr add 192.168.0.112/24 dev eth0这是为网卡设置一个辅助ip。

假如一个网卡的ip地址为192.168.0.22，执行上面的命令，在用ifconfig 查看，会发现有两个ip地址，而192.168.0.22称为主地址（Primary IP address）,而192.168.0.112称为辅助地址（secondary IP address），一块网卡是允许有多个IP地址的，所以就算再多添加几个secondary IP 也是合法行的。

APACHE安装配置说明⼀、软件下载⼆、环境检查# rpm -qa|grep zlibzlib-devel-1.2.3-3zlib-1.2.3-3# rpm -qa|grep sslopenssl-devel-0.9.8b-10.el5openssl-0.9.8b-10.el5如果需要依赖包，安装其对应的devel包即可，此处仅⽤到zlib和ssl。

另，如果有httpd包，要先卸载掉或停⽌其服务。

三、编译安装1、针对安装⽬的的说明（来⾃INSTALL⽂件）如果是开发者则使⽤此选项，--with-included-apr利于连接apache的代码或者是调试apache，其消除了由于版本或者编译中跟APR或者APR-util代码产⽣的不匹配；如果从⼦版本编译apache，要先运⾏buildconf（需要Python，GNU autoconf和libtool），然后运⾏configure。

发⾏包不⽤。

如果要在FreeBSD5.4之前编译时包含apache的threaded MPM，需要使⽤--enable-threads和--with-mpm 参数在Mac上编译⼦版本，要使⽤GNU Libtool 1.4.2及以上版本2、关于SSL加密和正则表达式（来⾃⽂件README）Apache2.0及以上版本在⽬录modules/ssl/下包含了mod_ssl模块⽤于配置和监听ssl⽹络接⼝的连接。

（另外，⼀些apr-util版本在⽬录srclib/apr-util/ssl/下提供了ssl⽹络接⼝）带有单词crypto的包的名字，可能包含openssl加密库的⽬标代码。

如果apache的加密功能不理想或者要排除再重分配，则可以使⽤包的名字包含nossl的发布包。

Apache使⽤PCRE包包含的正则表达式。

3、对configure参数的说明配置帮助表：-h, --help显⽰帮助信息display this help and exit--help=short ⽤short参数将只显⽰正在运⾏的当前脚本的选项，⽽不能列出适⽤于Apache配置脚本所运⾏的外部配置脚本的选项display optionsspecific to thispackage--help=recursive 使⽤recursive参数将显⽰所有程序包的简短描述display the shorthelp of all theincluded packages-V, --version显⽰版本display version information and exit-q, --quiet, --silent不显⽰checking……信息do notprint`checking...' messages--cache-file=FILE在指定⽂件中存储测试结果cache test results in FILE [disabled]-C, --config-cache 在⽂件config.cache中存储测试结果alias for `--cachefile=config.cache'-n, --no-create configure脚本运⾏结束后不输出结果⽂件，常⽤于正式编译前的测试。

apache用法Apache是一款流行的web服务器软件，它能够提供网页浏览、动态内容创建、数据库服务等多种功能。

在本文中，我们将介绍Apache 的安装、配置、管理、安全性和优化等方面的知识。

一、安装Apache安装Apache非常简单，您可以从官方网站下载适合您操作系统的安装包。

在安装过程中，您需要选择安装路径、配置文件位置等选项，并设置一些基本参数。

安装完成后，您可以通过浏览器或命令行来测试Apache是否正常运行。

二、配置ApacheApache的配置文件位于`/etc/httpd/conf`目录下，该文件包含了Apache服务器的各种设置。

配置文件使用了较为简洁的语法，方便修改和调整。

您可以使用文本编辑器打开配置文件，根据您的需求进行修改。

在配置文件中，您可以设置虚拟主机、监听地址和端口、启用或禁用某些模块等功能。

同时，您还可以配置SSL证书，以实现安全传输。

配置完成后，需要重新启动Apache服务器，使配置生效。

三、管理ApacheApache提供了多种管理工具，方便您监控和调整服务器状态。

您可以使用命令行工具`apachectl`来查看服务器状态、启动和停止服务、重新加载配置等操作。

此外，您还可以使用Web管理工具，如Apache自带的Web管理界面或第三方工具，通过浏览器进行管理操作。

四、安全性Apache具有较高的安全性，但仍然需要注意一些安全问题。

首先，确保您的配置文件没有安全漏洞，如弱密码、不正确的权限设置等。

其次，及时更新Apache软件和配置文件，以修复潜在的安全漏洞。

最后，限制对配置文件的访问，以防止未经授权的修改。

五、优化Apache优化Apache可以提高服务器的性能和稳定性。

首先，优化虚拟主机配置，根据实际需求设置合适的资源分配和访问控制。

其次，使用缓存技术，如反向代理和缓存服务器，减少对数据库的访问次数。

此外，合理配置服务器硬件资源，如内存、硬盘和CPU，以充分利用服务器性能。

《组网技术》 第06课1．教学目的：使学生熟练掌握Linux环境常规与高级WEB服务和配置、验证方法。

使学生了解Linux环境LAMP及HTTPS相关知识2．教学内容：⑴Apache 常规服务器的配置⑵站点配置后的一般检测步骤和方法⑶Apache 高级服务器的配置⑷LAMP模型⑸实现HTTPS3．内容难点：配置Apache 虚拟主机Apache访问控制与安全网站4．学习要求：理解Web服务器的概念，正确建立和配置WEB 服务器。

在客户端检验WEB 服务器。

5．教学纲要㈠ Apache服务器非图形工具配置方法从上一讲中Apache服务器图形工具配置方法中可以知道，Apache服务器的核心配置文件是/etc/httpd.conf/conf/httpd.conf。

httpd.conf是Apache服务器中最核心的配置文件，大部分的设置都是通过该文件来完成的。

httpd.conf文件的内容非常多，其中包含很多的注释与说明，用来告诉读者可以提供哪些功能以及用法等。

从下图中Apache服务器图形工具配置的界面可以领略到httpd.conf文件的内容。

还有一些隐性的设置不能从中解读到。

主要的几种配置参数①Apache服务器根目录设置字段ServerRoot本字段用来设置Apache服务器的配置文件、错误文件和日志文件的存放目录。

默认情况下为：ServerRoot "/etc/httpd"可以根据需要进行修改。

②Apache服务器客户端连接数限制字段MaxClients<IfModule prefork.c>StartServers 8MinSpareServers 5MaxSpareServers 20ServerLimit 256MaxClients 256MaxRequestsPerChild 4000</IfModule>③设置主机名称字段ServerNameServerName字段定义服务器名称和端口号，用以标明自己的身份。

Apache配置详解Apache的配置由httpd.conf文件配置，因此下面的配置指令都是在httpd.conf文件中修改。

主站点的配置(基本配置)(1) 基本配置:ServerRoot "/mnt/software/apache2" #你的apache软件安装的位置。

其它指定的目录如果没有指定绝对路径，则目录是相对于该目录。

PidFile logs/httpd.pid #第一个httpd进程(所有其他进程的父进程)的进程号文件位置。

Listen 80 #服务器监听的端口号。

ServerName :80 #主站点名称（网站的主机名）。

ServerAdmin admin@ #管理员的邮件地址。

DocumentRoot "/mnt/web/clusting" #主站点的网页存储位置。

以下是对主站点的目录进行访问控制：<Directory "/mnt/web/clusting">Options FollowSymLinksAllowOverride NoneOrder allow,denyAllow from all</Directory>在上面这段目录属性配置中，主要有下面的选项：Options：配置在特定目录使用哪些特性，常用的值和基本含义如下：ExecCGI: 在该目录下允许执行CGI脚本。

FollowSymLinks: 在该目录下允许文件系统使用符号连接。

Indexes: 当用户访问该目录时，如果用户找不到DirectoryIndex指定的主页文件(例如index.html),则返回该目录下的文件列表给用户。

SymLinksIfOwnerMatch: 当使用符号连接时，只有当符号连接的文件拥有者与实际文件的拥有者相同时才可以访问。

其它可用值和含义请参阅：/Apache/ApacheManual/mod/core.html#options AllowOverride：允许存在于.htaccess文件中的指令类型(.htaccess文件名是可以改变的，其文件名由AccessFileName指令决定)：None: 当AllowOverride被设置为None时。

Apache的各种优化以及安全配置详解简介：Apache所运⾏的硬件环境都是对性能影响最⼤的因素，即使不能对硬件进⾏升级，也最好给Apache⼀个单独的主机以免受到其他应⽤的⼲扰。

各个硬件指标中，对性能影响最⼤的是内存，对于静态内容（图⽚、JavaScript⽂件、css⽂件等）。

它决定了Apache可以缓存多少内容，它缓存的内容越多，在硬盘上读取内容的机会就会越少，⼤内存可以极⼤提⾼静态站点的速度；对动态⾼负载站点来说，每个请求保存的时间更多⼀些，Apache的mpm模块会为每个请求派⽣出相应的进程或线程分别处理，⽽进程或线程的数量与内存的消耗近似成正⽐，因此增⼤内存对提⾼动态站点的负载和运⾏速度也极为有利。

其次是硬盘的速度，静态站点尤为突出，Apache不断的在读取⽂件并发送给相应的请求，硬盘的读写是极其频繁的；动态站点也要不断的加载web程序（php等），⼀个请求甚⾄要读取⼗⼏个⽂件才能处理完成，因此尽可能的提⾼硬盘速度和质量对提⾼Apache的性能是有积极意义的。

最后CPU和⽹络，CPU影响的是web程序执⾏速度，⽹络影响流量⼤⼩。

⼀、Apache的⼏种⼯作模式以及调优Apache HTTP服务器被设计为⼀个强⼤的、灵活的能够在多种平台以及不同环境下⼯作的服务器。

这种模块化的设计就叫做“多进程处理模块”（Multi-Processing Module，MPM），也叫做⼯作模式。

1.Prefork（⼀个⾮线程型的）：其主要⼯作⽅式是：当Apache服务器启动后，mpm_prefork模块会预先创建多个⼦进程（默认为5个），每个⼦进程只有⼀个线程，当接受到客户端的请求后，mpm_prefork模块再将请求转交给⼦进程处理，并且每个⼦进程同时只能⽤于处理单个请求。

如果当前的请求数将超过预先创建的⼦进程数时，mpm_prefork模块就会创建新的⼦进程来处理额外的请求。

这样客户端的请求就不需要在接受后等候⼦进程的产⽣。

apach服务器配置大全(1)2011-09-16 23:02:00 来源：互联网一、资料参考与准备：Apache软件包的组成/etc/httpd/conf/*一、资料参考与准备：Apache软件包的组成/etc/httpd/conf/*主配置文件位置/etc/rc.d/init.d/httpd启动脚本/home/httpd/htmlhtml文档的主目录/home/httpd/html/manual/*html格式的帮助文档/home/httpd/icons/*用在html网页中的图标文件/usr/sbin/*-/usr/sbin/htpasswd建立和更新apache用户的程序-/usr/sbin/httpdhttp服务器程序/var/log/httpd/*日志文件主配置文件httpd.conf的常用指令解释ServerType standalone#设置服务器的形式是单独启动（standalone），还是借由互联网络伺服程序inetd来启动。

一般使用前者。

ServerRoot "/usr/local/apache"#设置服务器的Home目录，用来存放服务器的设置文件、错误文件、记录文件。

PidFile logs/httpd.pid#程序启动时，把父进程httpd的进程号（process id）存在这个文件中。

这个文件名可以配合PidFile 指令加以改变。

ScoreBoardFile logs/apache_status#设置网络上WWW服务器一些执行程序的记录文件。

#ResourceConfig conf/srm.conf#AccessConfig conf/access.conf#这两个文件的内容已经包含在httpd.conf文件中了。

Timeout 300#如果客户端300秒还没有连上，或者服务器300秒还没有传送数据到客户端，就会自动断线。

KeepAlive On#设置是否支持续传功能。

httpd.conf配置完美详解Linux下httpd.conf 配置详解1. 关于本文本文将以Apache 2.2为例，以rhel5为平台，讲述Apache服务器的安装和设置。

2. 关于ApacheApache 是一款功能强大、稳定、可支撑关键任务的Web服务器Apache具有如下特性：1) 几乎可以运行在所有的计算机平台上.2) 支持最新的HTTP/1.1协议3) 简单而且强有力的基于文件的配置(HTTPD.CONF).4) 支持通用网关接口(CGI)5) 支持虚拟主机.6) 支持HTTP认证.7) 集成PERL.8) 集成的代理服务器9) 可以通过WEB浏览器监视服务器的状态, 可以自定义日志.10) 支持服务器端包含命令(SSI).11) 支持安全SOCKET层(SSL).12) 具有用户会话过程的跟踪能力.13) 支持FASTCGI14) 支持JAVA SERVLETS.……更多信息请参阅Apache网站：/doc/327020310.html,3. Apache的安装Apache的安装无外两种方式：源码包安装和二进制包安装。

这两种方式各有特色，二位制包安装不需编译，针对不同的平台有经过优化编译的不同的二进制文件以及包格式，安装简单方便，源码包则必须先配置编译再安装，可以根据你所用的主机环境进行优化、选择你所用的模块，安装定制更灵活。

下面分别介绍这两种安装方式。

3.1 以源码包方式安装3.1.1 下载最新版本的apache软件访问apahce网站/doc/327020310.html,/download.cgi下载最新版本的Apache源码包。

本文使用的是2.2.6版本，在linux系统下用下面的命令下载：wget /doc/327020310.html,/httpd/httpd-2.2.6.tar.gz3.1.2 解压缩下载的源码包首先建立一个工作目录( 笔者建议的目录为/usr/local/src/apache ) ：mkdir -p /usr/local/src/apache 将下载的源码包移至工作目录：mv httpd-2.2.6.tar.gz /usr/local/src/apache进入工作目录并用tar命令解压源码包：cd /usr/local/src/apachetar zxvf httpd-2.2.6.tar.gz命令执行结束后，当前工作目录下将生成一个新的子目录httpd-2.2.6，此目录下即为Apache的源码文件。

Apache服务器配置与管理一、Apache服务器的安装与启动1、查询系统是否安装了Apacherpm -qa | grep httpd2、运行如下命令进行安装rpm -ivh /media/RH*/Server/httpd-2.2.3-11.e15_1.3.i386.rpm3、启动Apache服务器service httpd restart 或者etc/init.d/httpd restart4、检测配置文件的语法service httpd configtest5、测试Apache服务器注意：防火墙的配置二、Apache服务器默认的配置文件信息1、主配置文件：/etc/httpd/conf/httpd.conf2、服务器的根目录（ServerRoot）：/etc/httpd3、根文档目录（DocumentRoot）：/var/www/html4、访问日志文件：/etc/httpd/logs/access_log5、错误日志文件：/etc/httpd/logs/error_log6、模块存放路径：/etc/httpd/modules（一）httpd.conf文件的格式1、httpd.conf配置文件主要由全局环境、主服务器配置和虚拟主机3个部分组成2、配置语句的语法格式：配置参数名称参数值3、检查httpd.conf的语法是否正确apachectl configtest 或者service httpd configtest（二）Web服务的基本配置1、主目录的路径（DocumentRoot）默认位置：/var/www/html可以将需要发布的网页放在这个目录下2、默认文档在浏览器中，输入Web站点的IP地址或域名即显示出来的Web页面DirectoryIndex index.html index.htm index.php index.html.var3、配置Apache监听的IP地址和端口号Listen 80（在本机所有可用IP地址上监听TCP 80端口）只监听IP地址为192.168.16.177的80端口和192.168.18.178的8080端口Listen 192.168.16.177 80Listen 192.168.18.178 80804、设置相对根目录路径相对根目录通常是Apache存放配置文件、日志文件、模块文件等的地方。