1 Тема от Cruiser78 (21.04.2011 16:42:27 отредактировано Cruiser78)

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]

Привет всем!

Задача - для служебного (BackupPC) WWW-сервера на апаче (ось - RFR-12) надо настроить права доступа. А именно дать доступ только с localhost и с административной машины.
Корректируем соответствующий апачный конфиг:

 Консоль:
# cat BackupPC.conf
<Directory       /usr/share/BackupPC/sbin/>

Order deny,allow
Deny from all
Allow from 127.0.0.1 192.168.43.8

AuthType Basic
AuthUserFile /etc/BackupPC/apache.users
AuthName "admin"
Require valid-user

</Directory>

Alias           /BackupPC/images        /usr/share/BackupPC/html/
ScriptAlias     /BackupPC               /usr/share/BackupPC/sbin/BackupPC_Admin

В результате - с локальной консоли вход есть, с админиского рабочего места (192.168.43.8) - индейское национальное жилище. по имени 403 Forbidden You don't have permission to access /BackupPC on this server.
Причем такое большое, что какие угодно манипуляции над параметром Allow from... к успеху не приводят. Можно написать по allow'у на каждый хост в отдельности, можно вместо адреса задать сеть, можно поменять местами allow и deny... По фигу...
В httpd-логе пишется:

 [Thu Apr 21 15:26:59 2011] [error] [client 192.168.43.2] client denied by server configuration: /usr/share/BackupPC/sbin/BackupPC_Admin

И только если я напишу в конфиге Allow from all (от чего хочу уйти) - только тогда доступ к "сайту" открывается.

Подскажите, что я делаю неправильно, в чем собака зарылась?

2 Ответ от i2ks

  • i2ks
  • Участник Форума
  • Неактивен
  • Зарегистрирован: 20.02.2010
  • Сообщений: 6,983
  • Репутация : [ 101 | 1 ]

Allow from 127.0.0.1 192.168.43.8
и
[error] [client 192.168.43.2

Ну и? Все правильно, и не будет пускать.

It is good day to die ...
MS Windows 10
Заметки о главном...

3 Ответ от Cruiser78 (21.04.2011 16:41:48 отредактировано Cruiser78)

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
i2ks пишет:

Allow from 127.0.0.1 192.168.43.8
и
[error] [client 192.168.43.2

Ну и? Все правильно, и не будет пускать.

Откуда там берется эта 2-ка - не пойму. Это адрес самого сервера, на котором тот апач развернут (по сути - эквивалент 127.0.0.1). Соединение идет с 8-ки. Это первое.
Второе - если написать allow from 192.168. 43.2 или даже 192.168. 43.0/24 - абсолюно пофигу. Не пускает. И записи в логах - точно такие же. Я же написал, что любые (кроме allow from all) манипуляции не проходят.
------------------------------------
Дополнение - одна из собак зарылась в директиве deny from all. Когда её закомментарил - сервер пропустил по директиве allow from 192.168.43.2. Осталось только понять, кто и где адрес может подменять. Кстати, на этом же сервере прозрачный squid поднят. Может  в нем собака зарылась?..
================
Именно в нем и зарылась... Изменил слегка правила prerouting'а в сквид в iptables, всё заработало.