🐓

Apacheナニモワカラナイ（小ネタ集）

2022/11/18に公開

Apache

Tips

tech

はじめに

最近Apacheの設定をいじることが多くなってきて、そもそもほぼ触っていなかったので初歩的なところから、（自分的には）発展っぽいところまでざっと調べてみたのでこの機会にまとめてみる。誰かの参考になれば幸いです。

バーチャルホスト（VirtualHost）の設定

ここは公式ドキュメントを見るのが早いし正確だと思う。

ここら辺は最初易しいかも

例として、example.com用のバーチャルホストを設定してみる。

# vi /etc/httpd/conf.d/domain.conf

// viエディタ
<VirtualHost *:80>
    ServerName example.com
    DocumentRoot /var/www/example
    ServerAdmin host@example.com
    ErrorLog logs/example.com.error_log
    SetEnvIf Request_URI "\.(gif|jpe?g|png|css|js|svg|ico)$" nolog
    CustomLog logs/example.com.access_log combined env=!nolog
    <Directory /var/www/example>
        Require all granted
        Options -Indexes +FollowSymLinks
        AllowOverride All
    </Directory>
    RewriteEngine on
    RewriteCond %{SERVER_NAME} =domain
    RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
</VirtualHost>

mod_rewiteモジュールに関しては以下の記事が分かりやすい

IPアドレスによる制御

攻撃はいろんな場所から来るはずで、情報が漏洩とかが起こってからでは遅いので海外からのアクセスを制限する。具体的には日本のIPとブラウザのクローラーのみアクセスを許可したい。そこで参考にした記事や自分なりにつまづきポイントだったところをまとめる。

以下の記事を参考にすれば基本的には問題ないはず。

https://notepad-blog.com/content/196/

※補足：Apache2.4系ではRequireディレクティブでアクセス制御が可能。

以下リンクでで国別のIPアドレスのCIDRの取得ができる（Apache 2.4に対応）　
※これはRequire not ip xxx.xxx.xxx.xxx/xxになってるので、そこは注意
https://ipv4.fetus.jp/

海外からのアクセスが弾かれるかのテストは以下リンクで行なった。これ以外にもChrome拡張もあるらしい。
https://www.webpagetest.org/

自分がコケたポイント

最初アクセスログを見て、不正アクセスっぽいIPアドレスを特定しその国のIPアドレス範囲をごそっと拒否するみたいな書き方をしていた。つまり、以下のような記事をしていた

<Directory "/dev/html">
    Require all granted
    Require not ip xxx.xxx.xxx.xxx/xx
    ...
    Require not ip yyy.yyy.yyy.yyy/yy
</Direvtory>

systemctl restart httpd（Apacheの再起動）とやると構文エラーが出た。
※restartをした理由は、今回の要求的に日本のIPアドレス範囲外のアクセスを拒否するというものだったので、現在走っているプロセスごと終了して設定ファイルを読み込みたかったためである。Apacheの起動、再起動、停止周りのサブコマンドなども調べてみたので詳細はこちら。
systemctl status httpdでどこでこけているのかを確認し、いろいろ調べていたら以下の記事に辿り着いた。
https://www.nofuture.tv/20130813
記事の引用

特定のホストやIPのみのアクセスを許可する場合は、 Require だけでOK。

特定のホストやIPのアクセスを拒否する場合は、きちんと < RequireAll> ディレクティブを書いてから書く

Apacheのドキュメントの引用

When multiple Require directives are used in a single configuration section and are not contained in another authorization directive like <RequireAll>, they are implicitly contained within a <RequireAny> directive. Thus the first one to authorize a user authorizes the entire request, and subsequent Require directives are ignored.

つまり、
Requireディレクティブを複数条件記載する時、<RequireAll>で囲む必要がある模様。何もなしだと<RequireAny>と認識され１つ目以降が無視されるらしい。
ということで修正してみた。これで、Apacheを再起動が問題なくできた。

<Directory "/dev/html">
    <RequireAll>
        Require all granted
        Require not ip xxx.xxx.xxx.xxx/xx
        ...
        Require not ip yyy.yyy.yyy.yyy/yy
    </RequireAll>
</Direvtory>

設定ファイルの読み込み順について

この記事は自分が知りたかったところ（Include conf.d/*.confの読み込む順番知りたかった）的には割とドンピシャだった。アルファベット順らしい。

公式ドキュメントの引用

Shell-style (fnmatch()) wildcard characters can be used to include several files at once, in alphabetical order. In addition, if Include points to a directory, rather than a file, Apache will read all files in that directory and any subdirectory. But including entire directories is not recommended, because it is easy to accidentally leave temporary files in a directory that can cause httpd to fail.

https://teratail.com/questions/158545

※追記
/etc/httpd/conf.d/配下（CentOSの場合）のREADMEファイルにガッツリ書いてあった。

This directory holds configuration files for the Apache HTTP Server;
any files in this directory which have the ".conf" extension will be
processed as httpd configuration files.  The directory is used in
addition to the directory /etc/httpd/conf.modules.d/, which contains
configuration files necessary to load modules.

Files are processed in alphabetical order.

設定は上書きされるのか？

What happens if you have two of the same directives in the config is complicated. It depends, at least, on the directive; some (e.g., Require) add to the previous ones. Some modify or overwrite them, depending on exact syntax used (e.g., Options). Similarly, global config and per-vhost config (and per-directory and per-location and...) combine in interesting ways. You have to check the Apache docs for details.

ざっくり日訳

同じディレクティブに関する記述が２つ設定されている場合は複雑です。ディレクティブ（apacheでのプロパティ的なもの）による、例えばRequireは後に追加するし、Optionsなら上書きます。グローバルな設定やホスト毎の設定などいろいろあるので（サボった）、詳細についてはApacheのドキュメントを見てください

どのファイルでアクセス制御するのが良いか？

httpd.conf、/conf.d/*.conf、.htaccessがあり、結局どのファイルでアクセス制御すれば良いのか？という疑問が出てきた。よくあるのは.htaccessでの制御はよく記事とかあるなーという印象。
これに関しては公式ドキュメントで言及されているので引用してみる。

一般的に、サーバの主設定ファイルにアクセスできない場合を除いて、 .htaccess ファイルの使用は極力避けてください。世の中には、例えば、ユーザ認証は常に .htaccess ファイルで行なわなければならない、という誤解が広まっていますが、まったくそんなことはありません。ユーザ認証の設定はサーバ主設定ファイルに書くことができ、実際、その方がより良い設定方法です。
.htaccess ファイルはコンテンツ提供者がディレクトリ毎の設定を行ないたいけれど、サーバシステムの root アクセス権限を持っていないという場合にのみ使うべきものです。サーバ管理者が頻繁に設定変更を行ないたくはない、というときには個々のユーザが .htaccess ファイルを使って自分で設定の変更を行なうことを許可した方が良いときもあるでしょう。これは特に、ISP が複数のユーザのサイトを一つのマシンでホストしていて、各ユーザが設定の変更をできるようにしたいようなときにあてはまります。

.htaccessは特に理由がない限り（このディレクトリはアクセス制御したいとか）は使わず主設定ファイルでアクセス制御を行うべき、と理解した。

アクセス制御にあたり、セクションのマージが起こることに注意したい。

The configuration sections are applied in a very particular order. Since this can have important effects on how configuration directives are interpreted, it is important to understand how this works.
The order of merging is:
1. <Directory> (except regular expressions) and .htaccess done simultaneously (with .htaccess, if allowed, overriding <Directory>)
2. <DirectoryMatch> (and <Directory "~">)
3. <Files> and <FilesMatch> done simultaneously
4. <Location> and <LocationMatch> done simultaneously
5.<If>

上記以外にも、以下のように結構大事なことが書いてあるので読んでおいた方が良さそう。

<Derectory>セクション以外は設定ファイルに表れた順に設定される（設定が競合した場合、後に読んだ方が適用される）
<Derectory>セクションはディレクトリパスが長いものから適用される
<VirtualHost>セクション中で扱うセクションは、同じセクションの設定が読み込まれた後にバーチャルホストの設定が読まれるので上書きすることができる
https://httpd.apache.org/docs/2.4/en/sections.html#merging
https://qiita.com/ngyuki/items/779ea21eec2ae6c450d5

Apacheコマンドオプション集

Apacheの設定ファイルの読み込み順序ってタイトルだが、オプションに関する説明の方が充実してる。

構文エラーとかないかチェックできる。

# htppd -t
# apachectl -t

おまけ、小ネタ

Basic認証

ApacheでBasic認証を設定するのは以下記事を参考にしたらできるはず。ポイントは必須の作業ではないがhtpasswdの所有者、権限を変更しておくこと（最小権限を心掛ける）。

で、Basic認証をブラウザでログインするとキャッシュが残るため都度ログインが求められることはない。

しかし、別ユーザーでのログインをしたい場合など何らかの理由でキャッシュをクリアしたい時があるはず。その時はホスト名の前に任意文字列@を付けると良いらしい、以下リンクを参考に。自分のブラウザ（Chrome）ではusername:password@hostnameで適当なユーザー名（hoge:fuga@hostname）で試したが、キャッシュはうまく消えなかった。なぜだろう、ブラウザの詳細設定とかそこまで見てる訳じゃないのでそこら辺が原因？

アクセスログの見方

記事の冒頭でApacheのアクセスログの見方について分かりやすかったので、載せておく。またこの記事はApacheだけでなくWebサーバー全体の不正アクセスなどの確認などについても書いてくれているのでssh接周りも見てみるといいかも。
https://knowledge.sakura.ad.jp/3424/

アクセスログの解析ツール（無料）

本番環境用の設定

おまじない的な感じで以下３行は入れておいた方がいい。
ServerSignature："no"でApacheが出す画面にサーバー情報を出さない
ServerTokens："ProductOnly|Prod"でバージョン情報などを隠蔽する
Header always unset X-Powered-By：PHPのバージョン情報を消す

ServerSignature Off
ServerTokens ProductOnly # Prodでも可
Header unset X-Powered-By

参考資料

他にApache周りで参考になる記事をまとめておく

2.2系の方も参考にできそうなIPアドレスによるアクセス制御

Aliasディレクティブ

このモジュールのディレクティブはサーバにリクエストが到着したときに URL の操作や制御をすることを可能にします。Alias ディレクティブと ScriptAlias ディレクティブは URL とファイルシステムのパスをマップするために使用されます。これは DocumentRoot の下にないドキュメントをウェブのドキュメントツリーの一部として送られるようにします。ScriptAlias ディレクティブにはマップ先のディレクトリが CGI スクリプトのみであることを示すという追加の効果があります。

IfModuleディレクティブ