Risque d'utiliser Apache mod_proxy

Question

Je suis maintenant en train d'explorer l'utilisation de la directive mod_proxy d'Apache, par exemple ProxyPass, dans le cadre d'une solution pour la restriction de script entre domaines (pour le code html / ajax / flash). Cependant, en activant mod_proxy, je crains fort que le serveur ne soit un proxy ouvert.

Quel est le risque et comment le minimiser, en bref?

Merci.

Answer 1

Puisque vous avez spécifiquement mentionné ProxyPass, je suppose que vous utilisez mod_proxy en tant que proxy inverse.

Si c'est le cas, assurez-vous simplement que ProxyRequests est désactivé. Ce n'est pas nécessaire pour les proxys inverses.

Dans une configuration de proxy direct, si vous deviez activer ProxyRequests sans définir de restrictions d'accès (c'est-à-dire quels hôtes / réseaux sont autorisés à utiliser le proxy), vous pouvez très facilement vous retrouver avec un proxy ouvert.

Consultez la documentation sur mod_proxy pour plus d'informations.

Answer 2

Assurez-vous simplement de définir ProxyRequests sur Désactivé :

.

Cela empêche Apache d’agir en tant que serveur proxy direct (c’est là que la préoccupation concernant un proxy ouvert intervient), mais n’affecte pas son utilisation en tant que proxy inverse en utilisant ProxyPass