Serveur Apache HTTP Version 2.4
Serveur Apache HTTP Version 2.4
| Description: | Autorisations de groupe basées sur l'hôte (nom ou adresse IP) |
|---|---|
| Statut: | Base |
| Identificateur de Module: | authz_host_module |
| Fichier Source: | mod_authz_host.c |
| Compatibilité: | Disponible depuis les versions 2.3 et supérieures d'Apache |
Les fournisseurs d'autorisation implémentés par le module
mod_authz_host sont enregistrés à l'aide de
la directive Require. On peut
utiliser cette directive à l'intérieur de sections <Directory>, <Files>, ou <Location> ou de fichiers
.htaccess pour
contrôler l'accès à certaines zones du serveur. Le contrôle d'accès
peut être effectué en fonction du nom d'hôte ou de l'adresse IP.
En général, les directives de restriction d'accès s'appliquent à
toutes les méthodes d'accès (GET, PUT,
POST, etc...). C'est d'ailleurs ce que l'on souhaite
dans la plupart des cas. Il est cependant possible de ne restreindre
l'accès que pour certaines méthodes, tout en laissant les autres
méthodes sans protection, en plaçant les directives dans une section
<Limit>.
Ce module ne fournit aucune directive.
La directive Apache Require est utilisée au cours de
la phase d'autorisation pour vérifier si un utilisateur se voit
accorder ou refuser l'accès à une ressource. mod_authz_host fournit
les types d'autorisation ip, host et local. D'autres
types d'autorisation
sont aussi disponibles, mais nécessitent le chargement des modules
d'autorisation appropriés.
Ces fournisseurs d'autorisation permettent de déterminer quels hôtes peuvent accéder à une zone du serveur. On peut contrôler l'accès en fonction du nom d'hôte, de l'adresse IP, ou d'un intervalle d'adresses IP.
Depuis la version 2.5.0, les directives require host supportent les expressions.
Le fournisseur ip permet de contrôler l'accès au
serveur en fonction de l'adresse IP du client distant. Lorsque
Require ip adresse-ip est spécifié, la
requête est autorisée si l'adresse IP du client distant correspond
à
Une adresse IP complète :
Require ip 10.1.2.3 Require ip 192.168.1.104 192.168.1.205
L'adresse IP d'un hôte pour qui l'accès est accordé
Une adresse IP partielle :
Require ip 10.1 Require ip 10 172.20 192.168.2
Les 1 à 3 premiers octets d'une adresse IP, pour une restriction à un sous-réseau.
Une paire réseau/masque de sous-réseau :
Require ip 10.1.0.0/255.255.0.0
Un réseau a.b.c.d, et un masque de sous-réseau w.x.y.z. pour une restriction de sous-réseau plus fine.
Une spécification CIDR réseau/nnn :
Require ip 10.1.0.0/16
Identique au cas précédent, excepté que le masque de sous-réseau représente les nnn premiers bits de poids fort.
Notez que les trois derniers exemples correspondent exectement au même ensemble d'hôtes.
On peut spécifier des adresses et des sous-réseaux IPv6 comme suit :
Require ip 2001:db8::a00:20ff:fea7:ccea Require ip 2001:db8::a00:20ff:fea7:ccea/10
Note : comme les adresses IP sont lues au démarrage, les expressions ne sont pas évaluées pour chaque requête.
Le fournisseur host permet de contrôler l'accès au
serveur en fonction du nom d'hôte du client distant. Lorsque
Require host nom-hôte est spécifié, la
requête est autorisée si le nom d'hôte correspond à
Un nom de domaine (éventuellement partiel)
Require host example.org Require host .net example.edu
Les hôtes dont les noms correspondent ou se terminent par la
chaîne spécifiée se voient accorder l'accès. Seuls les élément de
nom de domaine complets sont mis en correspondance ; ainsi,
l'exemple ci-dessus correspondra à foo.example.org, mais
ne correspondra pas à fooexample.org. Avec cette
configuration, Apache va effectuer une double recherche DNS sur
l'adresse IP du client, sans tenir compte de la définition de la
directive HostnameLookups. Il
va effectuer une recherche DNS inverse sur l'adresse IP pour trouver
le nom d'hôte associé, puis une recherche DNS directe sur le nom
d'hôte pour vérifier qu'il correspond bien à l'adresse IP originale.
L'accès ne sera accordé que si le nom d'hôte correspond et si les
recherches DNS inverse et directe sont cohérentes.
Le fournisseur local autorise l'accès au serveur si
l'une au moins de ces conditions est satisfaite :
L'exemple suivant montre une méthode simple pour sélectionner les connexions en provenance de l'hôte local :
Require local
Si le contenu de votre serveur est mandaté, vous devez garder à
l'esprit que l'adresse client correspondra à l'adresse de votre
serveur mandataire et non à l'adresse du client, et l'utilisation de
la directive Require dans ce contexte ne provoquera pas
forcément l'effet désiré. Voir mod_remoteip pour
une solution possible à ce problème.
