Apache基于IP的虚拟主机通过为不同业务绑定独立IP地址，结合网络配置、VirtualHost限定、目录权限隔离及防火墙策略，实现敏感业务的逻辑与物理双重隔离，防止跨站访问和信息泄露。
在apache中用基于ip的虚拟主机隔离敏感业务，核心是让不同业务绑定独立ip地址，并通过网络层+配置层双重隔离，避免跨站访问、信息泄露或权限越界。这不是仅靠改几行配置就能完成的事，需结合系统网络、文件权限和访问控制协同实现。
绑定专属IP并启用多网卡或别名
敏感业务必须独占一个IP地址，不能与其他站点混用。常见做法有：
- 物理服务器添加第二块网卡，配置独立IP（如
192.168.5.100），再通过ifconfig或ip addr add确认生效 - 虚拟机或云服务器使用IP别名方式：执行
ip addr add 192.168.5.100/24 dev eth0，并写入网络配置文件确保重启不丢失 - 检查
netstat -tuln | grep :80确认Apache确实在该IP上监听，而非只监听*:80
为每个IP定义独立的VirtualHost块
在/etc/httpd/conf.d/sensitive.conf（或对应路径）中明确限定IP与端口，禁用通配符：
<VirtualHost 192.168.5.100:80>
ServerName secure.internal
DocumentRoot /var/www/sensitive-app
<Directory "/var/www/sensitive-app">
Require all granted
Options -Indexes -ExecCGI
AllowOverride None
</Directory>
ErrorLog logs/sensitive_error_log
CustomLog logs/sensitive_access_log combined
</VirtualHost>
注意：ServerName仅作标识，不参与路由；关键在于<VirtualHost 192.168.5.100:80>这一行——它强制所有发往该IP的请求进入此配置，其他站点无法“蹭”进来。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
操作系统级目录权限与用户隔离
即使配置正确，若文件权限宽松，仍可能被同服务器其他账户读取。建议：
- 为敏感业务创建专用系统用户（如
sensitive-user）和组（sensitive-group） - 将网站根目录归属设为
sensitive-user:sensitive-group，权限设为750（属主读写执行，属组只读执行，其他人无权） - 修改Apache运行用户：在
httpd.conf中设置User sensitive-user和Group sensitive-group，使Apache进程以最小权限读取该目录 - 禁用
AllowOverride All，防止.htaccess绕过主配置
网络与防火墙层面强化限制
仅靠Apache配置不够，需叠加网络层控制：
- 用
iptables或firewalld限制该IP仅响应指定内网段（如10.10.0.0/16）的HTTP/HTTPS请求，拒绝公网直连 - 若业务仅供后端服务调用，可关闭该IP的80/443端口对外暴露，改用反向代理（如Nginx）统一入口，再按路径或Header转发到对应IP
- 在
<VirtualHost>内加入IP白名单，双重保险：<RequireAny> Require ip 10.10.1.0/24 Require ip 10.10.2.50 </RequireAny>
这样配置后，敏感业务就运行在独立IP、独立用户、独立目录、独立日志、受限网络路径的闭环中，既满足合规对“逻辑隔离”的要求，也大幅降低横向渗透风险。
