Apache 2.4.29虚拟主机中单个IP限制/admin路径访问失效求助

一、现有配置的问题分析 #

1. 80端口重复VirtualHost：你配置了两个<VirtualHost *:80>且ServerName均为subdomain.example.com，Apache会优先匹配第一个VirtualHost，导致第二个80端口的配置（包括/admin的IP限制）完全不生效。而第一个80的配置只是将请求重定向到HTTPS，实际生效的只有443端口的VirtualHost。
2. 授权逻辑不严谨：原/admin的Location块仅配置了允许指定IP，但未显式拒绝其他IP，结合根目录的Require all denied，虽然Apache 2.4的授权逻辑会优先匹配Location规则，但显式定义拒绝规则能避免潜在冲突。

二、修复后的VirtualHost配置 #

先修正80端口的重复配置，同时优化443端口的授权逻辑：

<IfModule mod_ssl.c>
        # 80端口统一处理HTTP重定向到HTTPS
        <VirtualHost *:80>
                ServerName subdomain.example.com
                ServerAlias example.com
                Redirect / https://subdomain.example.com/
        </VirtualHost>

        # 443端口HTTPS配置
        <VirtualHost *:443>
                ServerName subdomain.example.com
                ServerAlias example.com
                
                # 补充SSL必需配置（根据实际路径调整）
                SSLCertificateFile /etc/ssl/certs/subdomain_example_com.pem
                SSLCertificateKeyFile /etc/ssl/private/subdomain_example_com.key

                <Location />
                        Require all granted
                        AllowMethods DELETE GET POST PUT HEAD
                </Location>

                # 限制/admin路径仅指定IP访问
                <Location /admin>
                        Require all denied
                        Require ip XX.XX.XX.XX
                </Location>
        </VirtualHost>
</IfModule>

关键调整点： #

• 合并80端口的重复VirtualHost，避免配置被忽略。
• 在/admin块中先显式拒绝所有请求，再放行指定IP，逻辑更严谨。
• 补充443端口必需的SSL证书配置（原配置缺失，这是HTTPS服务正常运行的前提）。

三、验证配置与重启服务 #

1. 检查Apache配置语法：

apache2ctl configtest

2. 语法无误后重启Apache：

systemctl restart apache2

四、基于mod_security的替代方案 #

若上述配置仍未生效，可使用mod_security实现IP限制：

1. 启用mod_security模块：

a2enmod security2

2. 在443端口的VirtualHost块中添加规则：

<IfModule mod_security2.c>
        # 拦截/admin路径的非指定IP请求
        SecRule REQUEST_URI "^/admin" "id:1000,phase:1,deny,status:403,msg:'Admin path access restricted',remoteAddr!@ipMatch XX.XX.XX.XX"
</IfModule>

3. 重启Apache生效：

systemctl restart apache2

规则说明： #

• REQUEST_URI "^/admin"：匹配所有以/admin开头的请求路径。
• remoteAddr!@ipMatch XX.XX.XX.XX：当客户端IP不等于指定IP时触发规则。
• deny,status:403：直接拒绝请求并返回403禁止访问状态码。

内容的提问来源于stack exchange，提问作者BradG