apache正向代理无独立“forwardproxy模块”，需启用mod_proxy和mod_proxy_http并设proxyrequests on；必须禁用非必要模块、限制ip白名单或basic认证、关闭dns解析与服务器标识、单独记录代理日志并设置超时。

Apache 正向代理不是靠单独的 “ForwardProxy 模块” 实现的，而是通过启用 mod_proxy 和 mod_proxy_http 这两个基础模块，并设置 ProxyRequests On 来开启。它本身没有叫 ForwardProxy 的独立模块，误称容易导致配置失败。

启用正向代理功能

必须显式加载并激活代理核心模块：

• 确认已启用 mod_proxy 和 mod_proxy_http（HTTPS 代理还需 mod_ssl）
• 在主配置或虚拟主机中添加：ProxyRequests On
• 禁用非必要 proxy 模块（如 mod_proxy_ftp、mod_proxy_connect），尤其要关闭 mod_proxy_connect 或明确禁止 CONNECT 方法，防止被用于 HTTPS 隧道滥用

限制访问权限的核心方式

正向代理一旦开启，默认对所有请求放行，必须立即叠加访问控制，否则等于开放公网代理：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

• 用 <proxy></proxy> 容器定义策略范围
• 使用 Require ip 限定仅允许的局域网段，例如：
  Require ip 192.168.0.0/16
Require ip 10.0.0.0/8
Require ip 172.16.0.0/12
• 不推荐仅用 Allow from + Order deny,allow（Apache 2.2 语法），新版本应统一使用 Require 指令（Apache 2.4+）
• 高安全场景可叠加 Basic 认证：
  AuthType Basic
AuthName "Forward Proxy"
AuthUserFile /etc/apache2/.proxy-htpasswd
Require valid-user

必须同步加固的安全项

仅控 IP 或账号远远不够，还需关闭信息泄露与滥用通道：

• 关闭 DNS 解析：ProxyBadHeader Ignore + 禁用 ProxyVia 或设为 Off，避免暴露代理链路
• 隐藏服务器标识：ServerTokens Prod + ServerSignature Off
• 单独记录代理日志：CustomLog logs/proxy-access.log "%{X-Forwarded-For}i %l %u %t \"%r\" %>s %b
• 限制连接超时：ProxyTimeout 30，防慢速攻击耗尽资源
• 禁用目录列表和敏感模块：Options None，关闭 mod_info、mod_status 等探测接口

验证是否生效

配置完成后务必实测：

• 重启 Apache，检查 logs/error.log 无模块加载或语法错误
• 从白名单内机器浏览器设置代理（地址填 Apache 内网 IP，端口填 Listen 端口），访问 HTTP 网站应成功；访问 HTTPS 需额外配置 SSLProxyEngine on 且确保证书可信
• 从非白名单 IP 尝试，应返回 403；未认证时启用了 Basic 认证的，应弹出登录框
• 用 curl -x http://apache-ip:port http://httpbin.org/ip 检查请求是否真正经由代理发出