Apache httpd：如何从所有子网中拒绝所有，从子网中允许但从该子网中的IP拒绝？

我正在使用股票Apache httpd-2.2.3运行CentOS 5.5。

我已在/ server-status位置启用了mod_status。我想通过以下方式允许访问该位置：

1. 全部拒绝
2. 允许来自子网192.168.16.0/24
3. 拒绝IP地址为192.168.16.100的192.168.16.100。

1＆2很容易。但是，由于我“允许来自192.168.16.0/24”，是否可以拒绝来自192.168.16.100？

我试图为192.168.16.100添加一个Deny语句，但是它不起作用。这是相关的配置：

<Location /server-status>
    SetHandler server-status
    Order Allow,Deny
    Deny from  all
    Deny from  192.168.16.100 # This does not deny access from 192.168.16.100
    Allow from 192.168.16.0/24
</Location>

要么：

<Location /server-status>
    SetHandler server-status
    Order Allow,Deny
    Deny from  all
    Deny from  192.168.16.100 # This does not deny access from 192.168.16.100
    Allow from 192.168.16.0/24
</Location>

但是，这不会阻止访问该特定页面，如访问日志中所示：

www.example.org 192.168.16.100 - - [11/Mar/2011:16:01:14 -0800] "GET /server-status HTTP/1.1" 200 9966 "-" "

根据mod_authz_host的手册：

允许否认

首先，评估所有Allow指令；至少一个必须匹配，否则请求被拒绝。接下来，将评估所有“拒绝”指令。如果有匹配项，则请求被拒绝

IP地址与Deny指令匹配，因此不应拒绝请求吗？

根据mod_authz_host页面上的表，此IP地址应“同时匹配允许和拒绝”，因此应应用“最终匹配控件：拒绝”规则。

    比赛允许，拒绝结果拒绝，允许结果
    仅匹配允许允许请求允许请求
    仅匹配拒绝请求被拒绝请求被拒绝
    无匹配项默认为第二个指令：拒绝默认为第二个指令：允许
    同时匹配“允许”和“拒绝最终匹配”控件：拒绝最终匹配控件：“允许”

我还没有测试过，但我想您已经快到了。

<Location /server-status>
    SetHandler server-status
    Order Allow,Deny
    Deny from  192.168.16.100
    Allow from 192.168.16.0/24
</Location>

Deny from all不需要。实际上，它会因为所有内容都匹配all而被破坏，因此被否决了（我认为Apache试图变得聪明，做一些愚蠢的事情）。我一直觉得Apache的Order，Allow和Deny指令混淆，所以总是想象的事情在一个表（摘自该文档）：

匹配| 允许，拒绝结果| 拒绝，允许结果
-------------------------------------------------- -----
仅允许| 允许| 允许的
仅拒绝| 拒绝| 被拒绝
没有匹配项| 默认值：拒绝| 默认值：允许
同时匹配| 决赛：被拒绝| 决赛：允许

使用以上设置：

• 来自192.168.16.100的请求将“同时匹配”，因此被拒绝。
• 来自192.168.16.12的请求将获得“仅允许”，因此被允许。
• 来自123.123.123.123的请求获得“不匹配”，因此被拒绝。

我可能还会考虑为此添加IPTables规则，以拒绝端口80上的单个主机，拒绝所有主机，并允许子网。

允许子网后，从特定地址设置拒绝规则应该没有问题。只需按此顺序进行即可。

可以使用php吗？如果是这样，请添加php语句以退出/重定向该特定IP地址

例：

$ deny = array（“ 111.111.111”，“ 222.222.222”，“ 333.333.333”）;

if（in_array（$ _SERVER ['REMOTE_ADDR']，$ deny））

{标头（“位置：http : //www.google.com/ ”）；

出口（）;

参考：http : //perishablepress.com/press/2007/07/03/how-to-block-ip-addresses-with-php/