------------------------------------------------------
1. Apache Order allow,deny
2. ProFTPd Order allow,deny
3. 비교
4. 정리
------------------------------------------------------
1. Apache Order allow,deny
Order directive
- Syntax : Order ordering
- Default : Order Deny,Allow <---- Deny 에 없는 것은 모두 Allow 됨
- Context : directory, .htaccess
- Override: Limit
- Status : Base
- Module : mod_access
Allow directive
- Syntax : Allow from all|host|env=variablename [host|env=variablename] ...
- Context : directory, .htaccess
- Override: Limit
- Status : Base
- Module : mod_access
- List : 구분 공백(' ')
A (partial) domain-name
Example: Allow from apache.org
A full IP address
Example: Allow from 10.1.2.3
A partial IP address
Example: Allow from 10.1
A network/netmask pair
Example: Allow from 10.1.0.0/255.255.0.0
A network/nnn CIDR specification
Example: Allow from 10.1.0.0/16
Allow from 10.1.2.3 env=foo <-- 틀린 경우(X)
Allow from env=foo 10.1.2.3 <-- 맞는 경우(O), env 가 앞에 옴
기본정책이 Deny 에 없는 것은 모두 Allow 되고, Deny,Allow 사이는 빈공백없이
콤마(,)로 분리.
- Order Deny,Allow
Allow 를 평가하기 전에 먼저 Deny 를 평가하고, 그 다음 Allow 에 override 함.
그리고 여기에 매치되지 않는 나머지 호스트 모두 Allow 됨.
따라서 이 Order 의 기본정책은 첫번째 Deny 지시자에서 결정함
즉 순서는,
1. Deny 매치 우선 결정(기본 정책 결정)
2. 그 다음 Allow 매치를 override 함
3. 나머지 포함되지 않은 호스트는 모두 Allow 됨
- Order Allow,Deny
Deny 를 평가하기 전에 먼저 Allow 를 평가하고, 그 다음 Deny 에
override 함. 그리고 여기에 매치되지 않은 나머지 호스트는 모두
Deny 됨. 이 Order 의 기본정책은 첫번째 Allow 지사자에서 결정함.
(*** 이점이 ProFTPd 와 서로 다름 ***)
ex1) 기본정책은 Allow 이고, 예외로 bad.com hacker.com 은 금지
Order Allow,Deny <-- Order Mutual-failure 와 같음
Allow from all
Deny from bad.com hacker.com <-- 리스트 나열은 빈공백으로 구분
ex2) 기본정책은 Deny 이고, 예외로 myhost.com 만 접근을 허용함
Order Deny,Allow
Deny from all
Allow from myhost.com
ex3) 중요
Order Allow,Deny
Allow from apache.org
Deny from foo.apache.org
이것은 foo.apache.org 를 제외한 *.apache.org 만 허용하고
나머지 모든 호스트는 접근을 금지함(foo.apache.org 는 당연히 금지)
이유는 Order 순서에 의해서 Deny 를 평가하기 전에 Allow 를 평가하고,
그 다음에 Deny 매치에 override 하기 때문이며, 나머지 매치되지 않는 모든
호스트는 Deny 됨.
ex4) 주의
Order Deny,Allow
Deny from all <--- 기본정책이 모두 Deny 임
Allow from aaa.foo.com
Allow from bbb.foo.com ccc.foo.com
Allow from ddd.com.com
Deny from ccc.foo.com <--- *** 이 호스트는 Allow 됨 ****
Allow 를 평가하기 전에 Deny 를 먼저 평가하기 때문에 평가 순서는
다음과 같음.
Order Deny,Allow
Deny from all <--- 기본정책이 모두 Deny 임
Deny from ccc.foo.com
Allow from aaa.foo.com
Allow from bbb.foo.com ccc.foo.com <--- Allow 됨
Allow from ddd.com.com
2. ProFTPd Order allow,deny
Order directive
- Syntax: Order [ Order allow,deny|deny,allow]
- Default : Order allow,deny
- Context : <Limit>
- Module : mod_core
- Compatibility : 0.99.0pl6 and later
Allow directive
- Syntax : Allow [ ["from"] "all"|"none"|host|network[,host|network[,...]]]
- Default : Allow from all
- Context : <Limit>
- Module : mod_core
- Compatibility : 0.99.0pl6 and later
- List : 구분 컴마(,)
A (partial) domain-name
Example: Allow from .proftpd.org <--- 아파치와 다르게 앞에 점 추가
A full IP address
Example: Allow from 10.1.2.3 <--- 아파치와 같음
A partial IP address
Example: Allow from 10.1. <--- 아파치와 다르게 뒤에 점 추가
A network/netmask pair <--- 없음
A network/nnn CIDR specification
Example: Allow from 10.1.0.0/16 <--- 아파치와 같음
ProFTPd 의 Order, Allow, Deny 지시자는 Apache와 비슷한 구문을 갖지만
그 결과는 아주 상이함.
- Order deny,allow <-- 우선권 deny 둠
allow 를 평가하기 전에 deny 를 먼저 평가하고 결정해 버림(overrid 하지 않음)
그리고 allow 를 평가하고(같은 것이 있으면 deny 가 우선), 나머지
매치되지 않은 모든 호스트는 deny 됨(아파치와 서로 반대임)
- Order allow,deny <-- 우선권을 allow 둠
deny 를 평가하기 전에 allow 를 먼저 평가하고 결정해 버림(overrid 하지 않음)
그리고 deny 를 평가하고(같은 것이 있으면 allow 가 우선), 나머지
매치되지 않은 모든 호스트는 allow 됨(아파치와 서로 반대임)
즉 같은 호스트가 allow 와 deny 에 둘다 있을 경우 그 우선권은
Order 지시자에서 설정한 앞부분의 keyword 에 따름.
Order deny,allow
Deny from 192.168.0.1
Allow from 192.168.0.
deny 가 우선이므로 192.168.0.1 은 deny 됨.(Override 되지 않음)
또한 다음과 같이 Order 순서를 그대로 두고, 위치만 바꾸어도 동일함.
Order deny,allow
Allow from 192.168.0.
Deny from 192.168.0.1
*중요)
ProFTPd 는 Apache 와 같이 Order 의 순서대로 Override 되지 않고,
Order 순서에 의해서 먼저 접근을 결정해 버림.
ex1) 특정 호스트만 허용함
<Limit LOGIN>
Order allow,deny
Allow from 192.168.0.100,192.168.1.
Deny from all <--- all 은 매치되지 않은 나머지를 의미함.
</Limit>
192.168.0.100 192.168.1.0/24 만 허용하고 나머지는 모두 접속을 금지함.
즉 특정 호스트만 허용(Allow) 하기 때문에 Order allow,deny 순으로
설정하여 우선권을 allow 가 갖도록함.
ex2) 특정 호스트만 금지함
<Limit LOGIN>
Order deny,allow
Deny from 192.168.0.100,192.168.1.
Allow from all <--- all 은 매치되지 않은 너머지를 의미함.
</Limit>
ex1) 과 서로 반대임
ex3) 부분과 전체
<Limit LOGIN>
Order allow,deny
Allow from 128.44.26.,128.44.26.
Allow from myhost.mydomain.edu,.trusted-domain.org
Deny from all
</Limit>
ProFTPd 는 Override 되지 않기 때문에 제일 마지막에 Deny from all 설정이
온다고 하더라고 먼저 설정한 호스트(ex 128.44.26.1)는 Allow 되고,
상위 설정에서 포함되지 않은 나머지 호스트는 제일 마지막에 모두 Deny 됨
ex3) 우선권
<Limit LOGIN>
Order deny,allow
Allow from 192.168.0.
Deny from 192.168.0.152
Deny from all <--- all 은 매치되지 않은 너머지를 의미함.
</Limit>
192.168.0.152 호스트는 앞부분 'Allow from 192.168.0.*'에 포함되지만
Order 순서가 deny 가 우선이므로 결국 이 호스트는 deny 됨.
즉 같은 호스트가 allow 와 deny 에 둘다 있을 경우 그 우선권은
Order 지시자에서 설정한 앞부분의 keyword 에 따름.
<Limit LOGIN>
Order deny,allow
Deny from 192.168.0.152
Allow from 192.168.0. <--- override 되지 않음
Deny from all <--- all 은 매치되지 않은 너머지를 의미함.
</Limit>
위의 설정도 같은 동일한 설정임.
3. 비교
1) 설정방향
- Apache : Order 순서에 의해서 순차적으로 override 됨.
매치되지 않은 나머지 호스트는 Order 의 뒤쪽 keyword 에 따름
- ProFTPd : Order 순서에 의해서 순차적으로 먼저 결정함.
매치되지 않은 나머지 호스트는 Order 의 앞쪽 keyword 에 따름
2) override 비교
- Apache : override 됨(뒤에 온 놈이 장땡)
- ProFTPd : override 되지 않음(먼저 온 놈(?)이 장땡)
3) 기본 접근정책 비교
- Apache : 전체 --> 부분으로 override
- ProFTPd : 부분 먼저 설정 --> 나머지 결정
4) 리스트 나열 비교
- Apache : 빈공백(' ')으로 구분, 여러줄 일 경우 `'와 중복 지시자 모두 가능
Allow from 1.2.3.4 1.2.3.5
1.2.3.6 1.2.3.7
Allow from 10.10.10.1
- ProFTPd : 컴마(,)로 구분하고 여러줄일 경우는 중복 지시자만 가능
Allow from 1.2.3.4,1.2.3.5,1.2.3.6,1.2.3.7
Allow from 10.10.10.1
5) Partial IP 주소 비교
- Apache : 192.168.0 192.168.1 <-- 뒤에 점이 없음
- ProFTPd : 192.168.0.,192.168.1. <-- 뒤에 점이 있음
6) Partial domain-name 비교
- Apache : foo.com bar.com <-- 앞에 점이 없음
- ProFTPd : .foo.com,.bar.com <-- 앞에 점이 있음
4. 정리
1) 설정 방향
- Apache
Order 순서에 의해서 전체를 먼저 설정하고 나머지 부분을 Override 함
- ProFTPd
Order 순서에 의해서 부분을 먼저 결정하고 나머지 전체를 설정한
* 서로 반대임
2) 특정 호스트만 허용할 경우 : 기본 정책이 deny 임
- Apache
Order Deny,Allow
Deny from all
Allow from 192.168.0 192.168.1.111
- ProFTPd
Order allow,deny
Allow from 192.168.0.,192.168.1.111
Deny from all <-- 나머지를 의미함
3) 특정 호스트만 막을 경우 : 기본 정책이 allow 임
- Apache
Order Allow,Deny
Allow from all
Deny from 192.168.0 192.168.1.111
- ProFTPd
Order deny,allow
Deny from 192.168.0.,192.168.1.111
Allow from all <-- 나머지를 의미함
댓글 없음:
댓글 쓰기