MENU
  1. ホーム
  2. Apache
  3. Apacheでホストごとのアクセス制限を設定する方法 – AllowとDenyの使い方を解説

Apacheでホストごとのアクセス制限を設定する方法 – AllowとDenyの使い方を解説

Apache

Apacheのhttpd.confを使ったアクセス制限は、サーバーのセキュリティを強化するための重要な手段です。特定のホストやIPアドレスからのアクセスを許可または拒否することで、不要なアクセスを防ぎ、安全な運用が可能になります。特に、外部からの不正なリクエストや攻撃を防止するために、AllowやDenyディレクティブを活用することが推奨されています。

本記事では、Apacheのhttpd.confを用いて、ホストベースでアクセス制限を行う方法について詳しく解説します。基本的なAllow/Denyの設定方法から、特定のディレクトリやパスへの柔軟な制限のかけ方までをわかりやすく説明します。これにより、Apacheサーバーのセキュリティレベルを向上させ、安全かつ安定した運用を目指せるでしょう。

目次

Apacheでのアクセス制限の基本


Apacheでは、特定のホストやIPアドレスからのアクセスを制御するために、Allow（許可）とDeny（拒否）ディレクティブを使用します。これらを組み合わせることで、必要なアクセスのみを許可し、不正なリクエストをブロックできます。

Apacheのアクセス制限は、主に以下のディレクティブを使って設定します。

  • Allow：特定のIPやホストからのアクセスを許可します。
  • Deny：特定のIPやホストからのアクセスを拒否します。
  • Order：AllowとDenyの処理順を指定します。

Orderの基本ルール


Orderディレクティブは、AllowとDenyの評価順序を決定します。順序によってアクセス制限の結果が異なるため、理解が重要です。

  • Order allow,deny：最初にAllowを評価し、許可されないものはDenyされます。
  • Order deny,allow：最初にDenyを評価し、拒否されないものはAllowされます。

基本構文


Apacheのアクセス制限の基本的な構文は以下のようになります。

<Directory "/var/www/html">
    Order allow,deny
    Allow from 192.168.1.0/24
    Deny from all
</Directory>


この例では、192.168.1.0/24（ローカルネットワーク）からのアクセスを許可し、それ以外のアクセスを拒否しています。

これらのディレクティブを正しく使うことで、アクセス制限を柔軟に設定し、セキュリティを高めることができます。

httpd.confでのAllow/Denyの書き方


Apacheのアクセス制限はhttpd.confファイルに直接記述します。主にディレクトリやファイル単位で設定を行い、指定したパスに対して特定のホストやIPアドレスからのアクセスを許可・拒否します。

基本的な記述方法


Allow/Denyディレクティブは、、、などのセクション内に記述します。これにより、特定のディレクトリやURL、ファイル単位でアクセス制御を行うことが可能です。

を使った例

<Directory "/var/www/html">
    Order allow,deny
    Allow from 192.168.1.0/24
    Deny from all
</Directory>


この例では、/var/www/htmlディレクトリへのアクセスを192.168.1.0/24ネットワークからのみ許可し、他のアクセスはすべて拒否します。

を使った例

<Location "/admin">
    Order deny,allow
    Deny from all
    Allow from 203.0.113.5
</Location>


この設定では、/adminパスへのアクセスをデフォルトで拒否し、203.0.113.5からのみ許可します。管理画面など特定のURLへのアクセス制限に便利です。

を使った例

<Files "config.php">
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Files>


この例は、config.phpファイルへのアクセスをすべて拒否し、ローカルホスト（127.0.0.1）からのみ許可します。設定ファイルなど重要なファイルの保護に役立ちます。

ポイント

  • Order allow,deny：最初に許可リストを評価し、それ以外を拒否します。
  • Order deny,allow：最初に拒否リストを評価し、それ以外を許可します。
  • 必要に応じてAllow from allやDeny from allを使用して、デフォルトの動作を設定します。

httpd.confでの正確な記述により、Apacheサーバーのアクセス制限を効果的に管理できます。

特定のIPアドレスを許可・拒否する設定例


Apacheでは、特定のIPアドレスやIPレンジに対してアクセスを許可または拒否することで、セキュリティを強化できます。ここでは、実際のhttpd.confでの記述例を紹介しながら、具体的な設定方法を解説します。

特定のIPアドレスを許可する例


以下の例では、203.0.113.5からのアクセスを許可し、それ以外のすべてのアクセスを拒否します。

<Directory "/var/www/html">
    Order allow,deny
    Allow from 203.0.113.5
    Deny from all
</Directory>


ポイント

  • Order allow,denyは最初に許可を評価し、それ以外はすべて拒否します。
  • Allow from 203.0.113.5で特定のIPからのみアクセスを許可しています。

複数のIPアドレスを許可する例


複数のIPを指定する場合は、Allow fromを複数行記述するか、スペース区切りで記述します。

<Directory "/var/www/html">
    Order allow,deny
    Allow from 203.0.113.5 198.51.100.10
    Deny from all
</Directory>


この設定の解説

  • 203.0.113.5と198.51.100.10の2つのIPアドレスからのアクセスを許可しています。
  • 複数のIPアドレスを一括で指定可能です。

特定のIPアドレスを拒否する例


逆に、特定のIPをブロックし、それ以外を許可する例です。

<Directory "/var/www/html">
    Order deny,allow
    Deny from 192.0.2.0/24
    Allow from all
</Directory>


この例のポイント

  • Order deny,allowにより、最初に拒否を評価し、それ以外を許可します。
  • Deny from 192.0.2.0/24は、192.0.2.0から192.0.2.255までのIPをブロックします。

範囲指定での許可・拒否


IPアドレスの範囲を指定することで、サブネット単位でのアクセス制御が可能です。

<Directory "/var/www/html">
    Order allow,deny
    Allow from 10.0.0.0/8
    Deny from all
</Directory>


説明

  • 10.0.0.0/8は、10.x.x.xのすべてのIPアドレスを許可します。
  • プライベートIP空間やVPN内のクライアントを対象とする場合に便利です。

応用例：内部ネットワークのみ許可


社内や内部ネットワークからのみアクセスを許可する例です。

<Directory "/var/www/internal">
    Order allow,deny
    Allow from 192.168.1.0/24
    Deny from all
</Directory>
  • 192.168.1.0/24は、ローカルネットワークからのアクセスを許可します。
  • internalディレクトリを外部から保護できます。

これらの設定を適切に行うことで、必要なアクセスだけを許可し、不要なアクセスを確実にブロックできます。

ホスト名ベースでのアクセス制限の方法


Apacheでは、IPアドレスだけでなくホスト名を使ってアクセスを制限することが可能です。特定のドメインやホストからのアクセスを許可・拒否することで、細かな制御が行えます。DNSの逆引きを利用してホスト名を確認する仕組みです。

基本的な構文


ホスト名を使ったアクセス制限の基本構文は以下の通りです。

<Directory "/var/www/html">
    Order allow,deny
    Allow from .example.com
    Deny from all
</Directory>


この例の解説

  • .example.comからのアクセスを許可します。www.example.comやapi.example.comなど、example.comドメインに属するすべてのサブドメインが対象です。
  • Deny from allにより、それ以外のアクセスは拒否されます。

特定のホストを許可する例

<Directory "/var/www/html">
    Order allow,deny
    Allow from host1.example.com
    Deny from all
</Directory>


ポイント

  • host1.example.comという特定のホストからのみアクセスを許可しています。
  • www.example.comや他のサブドメインからのアクセスは拒否されます。

複数のホストを許可する例

<Directory "/var/www/html">
    Order allow,deny
    Allow from host1.example.com host2.example.com
    Deny from all
</Directory>


説明

  • host1.example.comとhost2.example.comの2つのホストからアクセスを許可します。
  • 複数のホストをスペースで区切って記述します。

ホスト名の一部を指定する例

<Directory "/var/www/html">
    Order allow,deny
    Allow from .example.org
    Deny from all
</Directory>


この設定では、sub.example.orgやmail.example.orgなど、example.orgドメイン内のすべてのホストを許可します。

  • .（ドット）で始めることで、サブドメインを含めたドメイン全体を指定できます。

DNS逆引きを使用する注意点


ホスト名ベースのアクセス制限は、Apacheがリクエスト元のIPアドレスをDNSで逆引きし、ホスト名を確認することで動作します。しかし、DNS逆引きには以下の注意点があります。

  • パフォーマンスの低下：リクエストごとにDNSの逆引きが発生するため、応答速度が低下する可能性があります。
  • 偽装リスク：ホスト名の逆引きが偽装される可能性があります。そのため、信頼性の高いネットワークでの使用が推奨されます。

DNS逆引きを強制する方法


DNS逆引きを必須にするには、HostnameLookupsディレクティブをonに設定します。

HostnameLookups On


ただし、デフォルトではoffになっており、パフォーマンスを優先するためoffのまま運用することが一般的です。ホスト名による制限が必要な場合は、特定のディレクトリやURLに限定して設定すると良いでしょう。

応用例：イントラネット専用アクセス


社内ネットワークのホスト名を使ってイントラネット専用のアクセス制限を行う例です。

<Directory "/var/www/intranet">
    Order allow,deny
    Allow from .local.company.com
    Deny from all
</Directory>
  • local.company.comに属するすべてのホストをイントラネット専用ディレクトリにアクセスできるよう設定しています。

ホスト名ベースのアクセス制限は、IPアドレスによる制限と組み合わせて使うことで、より強固なセキュリティ対策を実現できます。

AllowとDenyの順序による挙動の違い


Apacheのアクセス制限では、Allow（許可）とDeny（拒否）のディレクティブに加えて、Orderディレクティブが評価順序を決定します。順序を適切に設定しないと、意図しないアクセスが許可されたり拒否されたりする可能性があります。ここでは、Order allow,denyとOrder deny,allowの違いを詳しく解説します。

Order allow,denyの挙動

<Directory "/var/www/html">
    Order allow,deny
    Allow from 192.168.1.0/24
    Deny from all
</Directory>


解説

  • 最初にAllowを評価します。Allow from 192.168.1.0/24に該当するIPアドレスからのアクセスは許可されます。
  • 次にDeny from allが評価され、それ以外のアクセスはすべて拒否されます。
  • 例外的にAllowで許可されたもののみがアクセス可能となります。

挙動の流れ

  1. Allowルールが適用される。
  2. Denyでそれ以外をすべてブロック。
  3. Allowで許可されたものだけが残る。

適したケース

  • 特定のIPアドレスやホストだけを許可し、それ以外はすべて拒否したい場合。
  • サーバーへのアクセスを制限し、信頼されたネットワークからのみ許可する状況。

Order deny,allowの挙動

<Directory "/var/www/html">
    Order deny,allow
    Deny from 192.168.1.100
    Allow from all
</Directory>


解説

  • 最初にDenyを評価します。192.168.1.100からのアクセスは拒否されます。
  • 次にAllow from allが評価され、それ以外のすべてのアクセスが許可されます。
  • 例外的にDenyで拒否されたものだけがブロックされ、残りはすべて許可されます。

挙動の流れ

  1. Denyルールが適用される。
  2. Allowでそれ以外のすべてを許可。
  3. Denyされたものだけが拒否され、他はアクセス可能。

適したケース

  • 一部のIPアドレスやホストだけを拒否し、その他は許可したい場合。
  • 例えば、悪意のあるIPアドレスをブロックするブラックリスト方式に適しています。

AllowとDenyの順序による実際の動作例

例1：特定IPのみ許可（ホワイトリスト方式）

<Directory "/admin">
    Order allow,deny
    Allow from 203.0.113.5
    Deny from all
</Directory>
  • 203.0.113.5からのアクセスのみ許可し、他のアクセスはすべて拒否します。
  • 限られた管理画面などに適しています。

例2：特定IPを拒否（ブラックリスト方式）

<Directory "/public">
    Order deny,allow
    Deny from 192.0.2.0/24
    Allow from all
</Directory>
  • 192.0.2.0/24のネットワークからのアクセスを拒否し、それ以外はすべて許可します。
  • 公開エリアにおいて、一部の悪意あるネットワークを遮断するケースに最適です。

Orderディレクティブのまとめ

  • Order allow,deny：許可リストを優先し、それ以外を拒否（ホワイトリスト方式）。
  • Order deny,allow：拒否リストを優先し、それ以外を許可（ブラックリスト方式）。

適切な順序を設定することで、意図通りのアクセス制限が可能になります。サーバーのセキュリティポリシーに応じて使い分けましょう。

<Directory>や<Location>を使った柔軟な制御方法


Apacheでは、アクセス制限を特定のディレクトリやURLパスごとに設定できます。これにより、サーバー全体ではなく、特定のリソースだけに制限をかける柔軟なアクセス管理が可能になります。主に使用するディレクティブは、、です。

<Directory>を使ったディレクトリ単位の制御


ディレクティブは、特定の物理ディレクトリに対してアクセス制限を設定します。

<Directory "/var/www/html/private">
    Order deny,allow
    Deny from all
    Allow from 203.0.113.5
</Directory>


解説

  • /var/www/html/privateディレクトリはデフォルトでアクセス禁止。
  • 203.0.113.5からのアクセスのみ許可されます。
  • これにより、特定のディレクトリを外部から守りつつ、管理者だけがアクセス可能になります。

<Location>を使ったURL単位の制御


は、物理的なディレクトリではなくURLパスに対してアクセス制限を行います。

<Location "/admin">
    Order deny,allow
    Deny from all
    Allow from 192.168.1.0/24
</Location>


解説

  • /adminパスへのアクセスを社内ネットワーク（192.168.1.0/24）からのみに制限します。
  • /adminが物理的に存在しない場合でも、バーチャルパスとしてアクセス制限が可能です。
  • 管理画面などの重要なパスに適しています。

<Files>を使ったファイル単位の制御


ディレクティブを使うと、特定のファイルだけにアクセス制限をかけられます。

<Files "config.php">
    Order allow,deny
    Deny from all
    Allow from 127.0.0.1
</Files>


解説

  • config.phpファイルはローカルホストからのアクセスのみ許可。
  • 外部から設定ファイルが参照されるのを防ぎます。

応用例：複数ディレクトリを一括で制限


複数のディレクトリをまとめてアクセス制限する場合は、ワイルドカード*を使用します。

<Directory "/var/www/*/private">
    Order allow,deny
    Deny from all
    Allow from 10.0.0.0/8
</Directory>


解説

  • /var/www/以下のすべてのprivateディレクトリが対象になります。
  • 10.0.0.0/8の内部ネットワークからのみアクセス可能です。

DirectoryとLocationの違い

ディレクティブ対象範囲使用場面
<Directory>物理ディレクトリサーバー内の特定フォルダへの制限
<Location>仮想パス（URL）特定のURLパスへのアクセス制限
<Files>特定ファイル設定ファイルや秘密ファイルの保護

ポイント

  • は物理ディレクトリを対象とし、/var/www/htmlなどのサーバー内の構造に従います。
  • はURLパスに基づき、バーチャルホストや動的なパスにも対応可能です。
  • は特定のファイルをピンポイントで保護します。

セキュリティ強化の実践例

<Directory "/var/www/html/secure">
    SSLRequireSSL
    Order deny,allow
    Deny from all
    Allow from 10.1.0.0/16
</Directory>
  • SSLRequireSSLを使用することで、HTTPSアクセスのみを許可。
  • 内部ネットワークからのみアクセス可能なセキュリティ強化設定です。

柔軟なアクセス制御を実施することで、必要なリソースを安全に保護しつつ、適切なアクセス権限を付与できます。

トラブルシューティングとよくあるエラー例


Apacheでアクセス制限を設定する際、意図した通りに動作しないことがあります。ここでは、よくあるエラーの原因とその解決方法について解説します。

1. 設定が反映されない


症状
httpd.confにAllow/Denyを記述したが、アクセス制限が反映されない。

原因

  • 設定ファイルの記述ミス
  • Apacheの再起動を忘れている
  • 設定ファイルの階層構造による競合

解決方法

  • httpd.confの構文チェックを行う
apachectl configtest


エラーが出た場合は、記述ミスを修正します。

  • 設定変更後はApacheを必ず再起動
systemctl restart apache2
  • 他の設定ファイル（例：.htaccess）に優先されていないか確認する。

2. 「403 Forbidden」エラーが発生する


症状
アクセス制限後、許可されるべきIPアドレスからも「403 Forbidden」エラーが表示される。

原因

  • Orderディレクティブの順序が誤っている
  • Deny from allが先に評価されてしまっている
  • アクセス許可するIPアドレスの記述ミス

解決方法

  • Orderの設定順序を確認
Order allow,deny
Allow from 192.168.1.0/24
Deny from all
  • IPアドレスの記述ミスがないか確認し、CIDR表記を正しく記載する。
  • <Directory>のパスが間違っていないかチェックする。

3. DNS逆引きでホスト名が解決できない


症状
ホスト名でアクセス制限を設定しているが、アクセスが拒否される。

原因

  • DNSの逆引きが有効になっていない
  • ホスト名が正しく逆引きできない

解決方法

  • httpd.confに以下の設定を追加し、逆引きを有効にする
HostnameLookups On
  • 逆引きが動作しない場合は、IPアドレスでのアクセス制限に切り替える。
  • /etc/hostsに該当のホスト名を記述することで、DNSを経由せずに解決可能。
192.168.1.5 admin.local

4. .htaccessの設定が優先される


症状
httpd.confで設定したアクセス制限が無視され、.htaccessの設定が適用されてしまう。

原因

  • .htaccessファイルが上位でアクセス制限を上書きしている
  • httpd.confのAllowOverride設定がAllになっている

解決方法

  • .htaccessを無効化するため、AllowOverrideをNoneに設定
<Directory "/var/www/html">
    AllowOverride None
</Directory>
  • .htaccessファイル自体を削除またはリネームして動作を確認する。

5. 特定ディレクトリへのアクセスが制限できない


症状
特定ディレクトリへのアクセスを制限しているが、意図しないアクセスが可能。

原因

  • <Directory>のパス指定が間違っている
  • <Location>で仮想パスを設定してしまっている
  • シンボリックリンク経由でアクセスされている

解決方法

  • 絶対パスを正しく記述
<Directory "/var/www/html/private">
    Order allow,deny
    Deny from all
</Directory>
  • シンボリックリンク経由でのアクセスを防ぐため、以下を追加
Options -FollowSymLinks

6. 「AH01797」エラーが表示される


症状
Orderディレクティブを使用した際に「AH01797: client denied by server configuration」というエラーが発生。

原因

  • Apache 2.4以降ではOrderディレクティブが廃止され、代わりにRequireが使用される。

解決方法

  • Apache 2.4以降では以下のように修正
<Directory "/var/www/html">
    Require ip 192.168.1.0/24
</Directory>
  • 古い記述方式を新しい形式に置き換えることで対応。

まとめ


Apacheのアクセス制限で発生するトラブルは、設定ミスや記述順序の誤りが原因となることが多いです。OrderやAllow/Denyの順番を確認し、設定を見直すことで解消できる場合がほとんどです。エラー発生時には、構文チェックやログファイルを確認しながら、原因を特定して対処しましょう。

Apache
アクセス制限 Apache httpd.conf

コメント

コメントする

目次