apache正向代理本身不内置白名单机制，但可通过mod_authz_host在块中配置require ip指令限制发起代理请求的客户端ip，必须启用proxyrequests on并绑定内网地址、配合防火墙实现多层防护。

Apache 正向代理本身不内置“白名单机制”，但可通过访问控制模块（mod_access 或 mod_authz_host）在代理请求入口处拦截，只允许指定 IP 或网段发起正向代理请求，从而实现逻辑上的白名单效果。

必须启用并配置 ProxyRequests

正向代理需显式开启 ProxyRequests On，且仅在明确需要时启用（生产环境通常禁用，因易被滥用为开放代理）：

• 在 <virtualhost></virtualhost> 或主配置中设置：ProxyRequests On
• 配合 <proxy></proxy> 容器限定作用范围，例如：<proxy></proxy>
• 若仅允许局域网使用，应严格限制 Allow from 范围，禁止公网直连

白名单规则要放在 Proxy 容器内

白名单不是写在全局或目录块里，而是直接作用于代理请求路径的 <proxy></proxy> 块中：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 正确示例（允许内网 + 本地）：

  Require ip 192.168.0.0/16
  Require ip 10.0.0.0/8
  Require ip 172.16.0.0/12
  Require ip 127.0.0.1

• 错误做法：把 Require 写在 <directory></directory> 或全局位置——正向代理请求不经过文件系统路径，这些规则不生效
• Apache 2.4 推荐用 Require ip，避免已废弃的 Order/Allow/Deny 语法

配合防火墙与监听地址加固

单靠 Apache 配置不够，需多层防护防止绕过：

• 将 Apache 绑定到内网地址（如 Listen 192.168.1.100:8080），不监听 0.0.0.0 或公网 IP
• 操作系统防火墙（如 firewalld）只放行白名单网段对代理端口的访问
• 禁用不必要的代理协议（如 FTP、CONNECT 方法可限制）：ProxyBadHeader Ignore + SSLProxyEngine off（除非明确需要 HTTPS 代理）

验证白名单是否真正生效

测试不能只看能否访问外网，而要看非白名单 IP 是否被拒绝：

• 从白名单外机器执行：curl -x http://proxy-ip:port https://httpbin.org/ip → 应返回 403 Forbidden
• 检查 Apache 错误日志：/var/log/httpd/error_log 中应有类似 client denied by server configuration 记录
• 运行 apachectl configtest 确保语法无误；reload 后用 ss -tlnp | grep :8080 确认监听地址正确