如何配置 Apache 代理以提供对内网服务的安全外网访问-Apache-PHP中文网

Apache 可安全充当反向代理，对外暴露 HTTPS 端口、对内仅连可信服务，需启用 proxy、proxy_http 等模块，配置 ProxyPass/ProxyPassReverse，强制 HTTPS 跳转，并支持 IP 白名单或基础认证等访问控制。

如何配置 apache 代理以提供对内网服务的安全外网访问

要让 Apache 作为反向代理，安全地将外网请求转发到内网服务（如后台 API、管理界面、内部 Web 应用），关键不是开放内网端口，而是通过 Apache 做一层可控的入口。它对外暴露标准 HTTP/HTTPS 端口，对内只与可信内网服务通信，既隐藏真实架构，又便于统一鉴权和日志审计。

确认 Apache 已启用代理模块

Apache 默认不启用代理功能，需手动加载必要模块：

Ubuntu/Debian 系统：运行 sudo a2enmod proxy proxy_http proxy_ssl headers，然后 sudo systemctl restart apache2
CentOS/RHEL 系统：编辑 /etc/httpd/conf/httpd.conf，确保以下行未被注释：
LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_http_module modules/mod_proxy_http.so
LoadModule proxy_ssl_module modules/mod_proxy_ssl.so
LoadModule headers_module modules/mod_headers.so
保存后执行 sudo systemctl restart httpd

配置反向代理规则（基础示例）

以代理内网服务 http://192.168.1.100:8080 为例，在虚拟主机配置中（如 /etc/apache2/sites-available/proxy.conf）添加：

<virtualhost>
    ServerName api.example.com
    ProxyPreserveHost On
    ProxyRequests Off
<pre class="brush:php;toolbar:false;"># 转发所有请求到内网服务
ProxyPass / http://192.168.1.100:8080/
ProxyPassReverse / http://192.168.1.100:8080/

# 可选：添加安全头
Header set X-Content-Type-Options "nosniff"
Header set X-Frame-Options "DENY"

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

注意：ProxyPreserveHost On 保证原始 Host 头传给后端；ProxyRequests Off 禁用正向代理，防止被滥用为开放代理。

强制 HTTPS 并启用 TLS 终止

外网访问必须走 HTTPS。使用 Let’s Encrypt 获取证书后，在 443 虚拟主机中配置：

监听 443 端口并启用 SSL：
SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/api.example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/api.example.com/privkey.pem
自动跳转 HTTP → HTTPS：
在 80 虚拟主机中添加：
Redirect permanent / https://api.example.com/
若后端服务也支持 HTTPS，可改用 https://192.168.1.100:8443/ 并启用 SSLProxyEngine on 和证书验证选项（如需校验内网服务证书）

限制访问与增强防护

仅允许合法请求通过代理，避免暴露或误用：

按路径精细控制：
例如只代理 /api/，其余返回 404：
ProxyPass /api/ http://192.168.1.100:8080/api/
ProxyPassReverse /api/ http://192.168.1.100:8080/api/
IP 白名单（适用于固定办公出口或可信客户端）：
<requireall></requireall>
Require ip 203.0.113.42
Require ip 2001:db8::1
基础认证（适合管理类接口）：
使用 htpasswd 创建用户文件，再在 Location 块中添加：
AuthType Basic
AuthName "Restricted Access"
AuthUserFile /etc/apache2/.proxy-auth
Require valid-user