为了在使用 Apache 设置反向代理时确保安全性，您可以实施多种最佳实践，例如启用 HTTPS 使用 SSL/TLS，调整安全标头，配置防火墙，并保护对后端的访问。下面是一个详细的实现，以确保您有一个更安全的环境。
启用带有 SSL/TLS 的 HTTPS
使用 HTTPS 对于保护客户端和服务器之间的数据至关重要。为此，我们将在 Apache 中配置 SSL 证书。
1.安装 Certbot 和 Apache SSL 模块
如果您尚未安装 SSL 模块，请安装它们：
sudo apt install certbot python3-certbot-apache
sudo a2enmod ssl
登录后复制
2.获取 SSL 证书（Let's Encrypt）
如果您的域名已经指向服务器，您可以从 Let's Encrypt with Certbot 获取免费的 SSL 证书。运行以下命令：
sudo certbot --apache -d php.info
登录后复制
3.验证并调整虚拟主机 SSL
配置后，Certbot 将创建或修改虚拟主机 SSL 配置文件。检查一切是否正确：
sudo your_editor /etc/apache2/sites-available/php-le-ssl.conf
登录后复制
它应该看起来像这样：
<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerAdmin webmaster@localhost
ServerName php.info
DocumentRoot /var/www/html/php
# Reverse Proxy Configuration for HTTPS
ProxyPreserveHost On
ProxyPass / http://localhost:8080/
ProxyPassReverse / http://localhost:8080/
<Directory /var/www/html/php/>
AllowOverride All
Require all granted
</Directory>
ErrorLog ${APACHE_LOG_DIR}/php_error.log
CustomLog ${APACHE_LOG_DIR}/php_access.log combined
SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/php.info/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/php.info/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>
</IfModule>
登录后复制
将 HTTP 重定向到 HTTPS
您可以确保所有 HTTP 流量都重定向到 HTTPS。在您的 HTTP 虚拟主机 (/etc/apache2/sites-available/php.conf) 中，添加：
<VirtualHost *:80>
ServerAdmin webmaster@localhost
ServerName php.info
Redirect permanent / https://php.info/
</VirtualHost>
登录后复制
这将确保任何 HTTP 请求都将重定向到网站的安全 (HTTPS) 版本。
安全标头
将以下安全标头添加到您的 SSL 虚拟主机配置文件中，以缓解一些常见漏洞，例如 点击劫持 和 跨站脚本 (XSS):
<IfModule mod_headers.c>
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set X-XSS-Protection "1; mode=block"
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
Header always set Content-Security-Policy "default-src 'self';"
</IfModule>
登录后复制
-
X-Content-Type-Options：防止浏览器尝试猜测内容类型，减轻 MIME 嗅探攻击。
-
X-Frame-Options：防止在 iframe 中使用网站，防止点击劫持。
-
X-XSS-Protection：启用浏览器中针对 XSS 攻击的保护。
-
严格传输安全：强制浏览器始终使用 HTTPS。
-
Content-Security-Policy：定义内容加载策略以防止XSS.
等攻击
保护后端
您必须确保后端服务（例如 PHP 服务器或其他服务）不能被公众直接访问。这可以通过将对后端的访问限制为仅代理来完成。
配置防火墙（Ubuntu 上的 UFW）：
首先，仅允许 HTTP（端口 80）和 HTTPS（端口 443）流量到达服务器。
sudo ufw allow 'Apache Full'
sudo ufw enable
登录后复制
现在，阻止任何到端口 8080（后端）的直接流量，Apache 除外：
监控和日志
密切关注访问和错误日志以监控可疑行为：
tail -f /var/log/apache2/php_error.log
登录后复制
tail -f /var/log/apache2/php_access.log
登录后复制
您还可以使用监控工具，例如Fail2Ban，自动阻止多次登录失败或其他可疑活动的 IP 地址。
定期更新
使您的操作系统、Apache 和 Certbot 保持最新状态对于确保您免受已知漏洞的影响至关重要。
sudo apt update && sudo apt upgrade
登录后复制
通过执行这些步骤，您将拥有一个安全的反向代理环境，具有HTTPS和针对常见攻击的基本保护。这些设置涵盖传输安全 (SSL/TLS)、减轻通过 HTTP 标头的攻击以及保护后端免受外部访问。
以上是Apache 虚拟主机：增加安全性的详细内容。更多信息请关注PHP中文网其他相关文章！
