如何配置Apache httpd正向代理按子网限制目标访问？

嘿，我来帮你搞定CentOS 6上Apache 2.2正向代理的子网限制问题！毕竟你用的是2.2版本，得用它专属的指令配置，可别跟2.4的规则搞混了～

下面是针对你的需求调整后的完整配置方案，直接替换或修改你现有VirtualHost段就行：

1. 调整后的VirtualHost配置 #

<VirtualHost 10.10.10.185:8080>
    ProxyRequests On
    ProxyVia On
    # 保留你原本要单独屏蔽的特定IP
    ProxyBlock "10.20.30.30"

    # 核心：限制仅允许代理到指定的IPv4和IPv6子网
    <Proxy *>
        # 规则顺序：先拒绝所有目标，再放行指定范围（这个顺序很关键）
        Order deny,allow
        Deny from all

        # 允许访问的IPv4子网，把你需要的都加上
        Allow from 10.1.0.0/24
        # 示例：再加一个IPv4子网，按需修改
        Allow from 192.168.20.0/24

        # 允许访问的IPv6子网（CentOS6的httpd默认支持IPv6，按需添加）
        Allow from 2001:db8::/32
        # 示例：本地IPv6私有子网
        Allow from fc00::/7
    </Proxy>
</VirtualHost>

2. 关键配置细节说明 #

• Order deny,allow：这个指令的逻辑是先执行所有Deny规则，再执行Allow规则。我们先Deny from all把所有目标都拒了，再单独放行你需要的子网，刚好实现“仅允许特定子网”的效果。
• IPv6配置：Apache 2.2支持直接用CIDR格式写IPv6地址，比如2001:db8::/32，不需要额外转义。如果你的环境不需要代理IPv6目标，直接删掉IPv6的Allow行就行。
• ProxyBlock：这个指令用来单独屏蔽特定IP/域名，和块的规则是互补的，你可以保留原本的配置。

3. 验证配置并重启服务 #

改完配置后先检查语法是否正确，避免重启失败：

httpd -t

如果输出Syntax OK，就放心重启httpd服务：

service httpd restart

4. 测试限制效果 #

用curl测试一下代理是否真的只放行指定子网：

# 测试允许的IPv4地址（应该正常访问）
curl -x 10.10.10.185:8080 http://10.1.0.5
# 测试被屏蔽的IP（应该返回403 Forbidden）
curl -x 10.10.10.185:8080 http://10.20.30.30
# 测试IPv6地址（如果环境支持IPv6的话）
curl -x [10.10.10.185]:8080 http://[2001:db8::1]

要是你的代理服务器本身没启用IPv6，IPv6的代理请求会失败，这属于正常情况哈。

内容的提问来源于stack exchange，提问作者Mikemo