Apache2安全配置：关键步骤一个都不能少
如果你正在运行Apache2服务器，安全配置绝不仅仅是安装完成后就置之不理。从系统更新到模块精简，从权限控制到日志审计，每个环节都可能在关键时刻抵御一次攻击。下面这些步骤，经过大量实战检验，是Apache服务器安全加固中最值得优先关注的要点。
1. 系统与软件更新：保持最新版本
Apache服务器及其依赖的软件包必须保持最新版本。许多已知漏洞都有官方补丁，若不及时更新，等于为攻击者敞开了大门。更新命令如下：
- Ubuntu/Debian：
sudo apt update && sudo apt upgrade -y - CentOS/RHEL：
sudo yum update -y
2. 防火墙配置：筑牢第一道防线
防火墙是服务器安全的第一道屏障。对于Apache，只需开放HTTP（80）和HTTPS（443）两个端口即可，其他端口一律关闭，无需任何妥协。
- UFW（Ubuntu/Debian）：
sudo apt install ufw -y sudo ufw allow 'Apache Full' # 允许HTTP和HTTPS sudo ufw enable - Firewalld（CentOS/RHEL）：
sudo firewall-cmd --permanent --zone=public --add-service=http sudo firewall-cmd --permanent --zone=public --add-service=https sudo firewall-cmd --reload
3. 禁用不必要模块：缩小攻击面
你安装的模块越多，潜在的攻击面就越大。像autoindex、cgi、status这类模块，如果业务上不需要，建议直接禁用。禁用后记得重启Apache使配置生效。
sudo a2dismod autoindex cgi status # Ubuntu/Debian
sudo systemctl restart apache2注：CentOS需要编辑
/etc/httpd/conf/httpd.conf，手动注释或删除对应的LoadModule行。
4. 隐藏服务器信息：降低被针对性攻击的风险
避免暴露Apache版本和操作系统信息，可以有效降低被针对性攻击的风险。在Apache主配置文件（/etc/apache2/apache2.conf或/etc/httpd/conf/httpd.conf）中添加以下两行：
ServerTokens Prod # 只显示“Apache”，不暴露版本号
ServerSignature Off # 错误页面也不显示服务器信息5. 强化访问控制：精细化管理权限
- 基于IP的访问控制：敏感目录（如后台管理页面）应仅允许特定IP地址访问。以下示例只允许
192.168.1.100访问/admin目录：Order Deny,Allow Deny from all Allow from 192.168.1.100 - 禁用目录浏览：防止用户通过浏览器查看目录下的文件列表。在目录配置中加入
Options -Indexes即可：Options -Indexes AllowOverride None Require all granted
6. 启用SSL/TLS加密：强制HTTPS传输
HTTP明文传输相当于在大街上喊话，任何人都能窃听。强制所有流量走HTTPS，是保护数据安全的基本操作。
- 安装SSL模块：
sudo a2enmod ssl（Ubuntu/Debian） - 生产环境建议使用Let’s Encrypt免费证书，避免使用自签名证书（除非仅用于测试）。一条命令即可完成配置：
sudo apt install certbot python3-certbot-apache -y sudo certbot --apache -d yourdomain.com -d www.yourdomain.com - 配置虚拟主机（
/etc/apache2/sites-a vailable/default-ssl.conf）时，确保证书路径正确：ServerName yourdomain.com SSLEngine on SSLCertificateFile /etc/letsencrypt/live/yourdomain.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/yourdomain.com/privkey.pem
7. 安装安全模块：增强防护能力
- ModSecurity：这是一款Web应用防火墙，能有效防御SQL注入、XSS等常见攻击。安装启用后，记得将规则引擎从
DetectionOnly改为On：sudo apt install libapache2-mod-security2 -y sudo a2enmod security2 sudo cp /etc/modsecurity/modsecurity.conf-recommended /etc/modsecurity/modsecurity.conf sudo sed -i 's/SecRuleEngine DetectionOnly/SecRuleEngine On/' /etc/modsecurity/modsecurity.conf sudo systemctl restart apache2 - ModEvasive：防止暴力破解，例如DDoS或密码猜测。安装后编辑配置文件
/etc/apache2/mods-enabled/evasive.conf，添加以下规则：DOSHashTableSize 3097 DOSPageCount 2 # 1秒内2次相同请求视为攻击 DOSSiteCount 50 # 1秒内50次请求视为攻击 DOSPageInterval 1 DOSSiteInterval 1 DOSBlockingPeriod 10 # 攻击时封锁10秒
8. 文件与目录权限：防止未授权访问
网站目录权限设置不当，容易导致恶意文件上传或敏感数据泄露。标准做法是：目录归Apache用户所有，目录权限755，文件权限644。
sudo chown -R www-data:www-data /var/www/html # Ubuntu/Debian（Apache用户为www-data）
sudo chmod -R 755 /var/www/html注：CentOS的Apache用户是
apache，记得替换。
9. 日志监控与审计：及时发现异常行为
日志是事后分析攻击行为的重要依据。生产环境建议将日志级别设为warn或error，同时启用Combined格式的访问日志，便于后续分析。
LogLevel warn
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined定期查看错误日志，可以及时发现异常：
tail -f /var/log/apache2/error.log10. 其他安全措施：全面加固
- 禁用目录列表：前面已经通过
Options -Indexes实现。 - 限制上传文件大小：防止大文件拖垮服务器。例如，限制上传目录最大50MB：
LimitRequestBody 52428800 - 使用强密码：Apache用户、数据库用户的密码必须包含大小写字母、数字和特殊字符，避免使用弱口令。
- 定期备份：配置文件和数据要定期打包，万一出问题还能快速恢复：
sudo tar -czvf /backup/apache2-backup.tar.gz /etc/apache2 /var/www/html
