みんなの「教えて（疑問・質問）」にみんなで「答える」Q&Aコミュニティ

apache2でのallow,deny指定について

Linux+Apache2+PHP+MySQLの組み合わせでWebサーバを運用しています。

海外向けのサービスのため、
日本国内からのWebアクセスを遮断することになりました。

日本国内のIPアドレス表はあるので、
httpd.conf内で

<Directory ～>
Order allow,deny
Allow from all
Deny from xx.xx.xx.xx/xx
（以下国内IPアドレスが続く）
</Directory>

としてIPアドレスにより遮断しました。
これ自体は問題なく稼働しています。

ただ、日本国内からも運用上いくつかの拠点で閲覧できる必要があり、それらのIPアドレスに対してallow指定をしたいのですが、どうもうまくいきません。

ようは
order allow,deny,allow
のような感じでできればいいのですが、そういう指定はできないようです。

<Directory>ディレクティブを下で再定義したり、別に.htaccessで定義してallowしてみたりしたのですが、そうするともともとあったdeny指定がクリアされてしまうようです。

もちろん、deny fromするサブネットを細かく分けて記述すればいいのですが、今後IPアドレスの追加や削除が発生しうるため、あまり国内IPアドレス表の部分はいじりたくないのです。
また、deny from allでその後海外のIPアドレスをallowするというのは、IPアドレス表が膨大になりすぎるので、これも避けたいです。

理想的には、httpd.confで国内を遮断した後、別ファイルで許可するIPアドレスを記述できればと思っています。

なお、PHPアプリケーションのほうで遮断するというのはパフォーマンスが劣化するため考えておりません。

現在は、仕方なくサブネット単位で
#Deny from xx.xx.xx.xx/xx
みたいにコメントアウトして運用しています。
「絶対に国内からは見られては困る」というほどでもないので、まあこれでもいいかと思っていますが、
もっとスマートなやり方はないかと思いご質問させていただきました。

なにとぞよろしくお願いいたします。

投稿日時 - 2009-07-09 14:44:13