Apache的mod_proxy本身不处理访问控制，限制IP必须在ProxyPass前用<Location>或<Proxy>块配合Require ip和Require all denied实现白名单；多IP需分行写，且需防火墙协同放行。

apache 的 mod_proxy 本身不负责访问控制，它只做请求转发。真正限制特定 ip 访问，必须在代理指令（如 proxypass）**之前**，通过 apache 的授权模块（如 mod_authz_host）配置访问策略。

用 Require ip 做 IP 白名单（最常用）

适用于内网 API、管理后台等只需来源可信的场景。关键点有三个：

• 必须用 <Location> 或 <Proxy> 块包裹代理指令，把权限规则写在里面
• 多个 IP 或网段要单独写多行 Require ip，不能用空格或逗号分隔
• 必须搭配 Require all denied 放在最后，否则默认放行——这是配置失效最常见的原因

示例：只允许两个内网段访问 /api/

<Location "/api/">
  ProxyPass "http://192.168.1.20:8080/"
  ProxyPassReverse "http://192.168.1.20:8080/"
  Require ip 192.168.10.0/24
  Require ip 10.0.5.0/24
  Require all denied
</Location>

正向代理也要限制来源 IP

如果启用了正向代理（ProxyRequests On），白名单必须放在 <Proxy *> 块中，并配合 AllowCONNECT 控制 HTTPS 隧道端口：

• Require all denied 必须写在最前面，再逐条加 Require ip
• 若需访问 HTTPS 网站，必须明确允许 CONNECT 方法的目标端口，比如 AllowCONNECT 443 8443
• 仅靠 Apache 配置不够，防火墙（如 firewalld）也得按相同 IP 段放行代理端口（如 3128/tcp）

示例：

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

<Proxy *>
  Require all denied
  Require ip 192.168.20.0/24
  AllowCONNECT 443 8443
</Proxy>

结合用户认证做双重校验

适合高敏感接口，要求“IP 合法 + 账号有效”同时满足。不能把 Require ip 和 Require user 并列写——那是 OR 关系，会降低安全性。

• 必须用 <RequireAll> 包裹，明确表达“且”的逻辑
• 需要提前配置 Basic 认证：指定 AuthType、AuthName 和 AuthUserFile
• 确保 mod_auth_basic 和 mod_authn_file 已启用

示例：

<Location "/admin-api/">
  AuthType Basic
  AuthName "Admin API"
  AuthUserFile /etc/apache2/auth/.htpasswd
  <RequireAll>
    Require ip 192.168.5.0/24
    Require user admin ops
  </RequireAll>
  ProxyPass "http://backend:8080/admin/"
  ProxyPassReverse "http://backend:8080/admin/"
</Location>

注意真实客户端 IP 的识别问题

如果前端有 CDN、负载均衡或反向代理，%{REMOTE_ADDR}e 可能是代理 IP 而非真实用户 IP，导致白名单失效。

• Nginx 前置时，Apache 需启用 mod_remoteip，并配置 RemoteIPHeader X-Forwarded-For
• Cloudflare 等服务，需在 Apache 中设置可信源 IP 段（RemoteIPTrustedProxy）
• 验证方式：在 <Location> 中加 SetEnvIf X-Forwarded-For "^(.+)$" REAL_IP=$1，再用 Require ip %{REAL_IP}e 测试