granicus.if.org Git - apache/blob - docs/manual/mod/mod_authz_host.html.en

   1 <?xml version="1.0" encoding="ISO-8859-1"?>
   2 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
   3 <html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en"><head><!--
   4         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   5               This file is generated from xml source: DO NOT EDIT
   6         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   7       -->
   8 <title>mod_authz_host - Apache HTTP Server</title>
   9 <link href="../style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" />
  10 <link href="../style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" />
  11 <link href="../style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" />
  12 <link href="../images/favicon.ico" rel="shortcut icon" /></head>
  13 <body>
  14 <div id="page-header">
  15 <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/directives.html">Directives</a> | <a href="../faq/">FAQ</a> | <a href="../glossary.html">Glossary</a> | <a href="../sitemap.html">Sitemap</a></p>
  16 <p class="apache">Apache HTTP Server Version 2.1</p>
  17 <img alt="" src="../images/feather.gif" /></div>
  18 <div class="up"><a href="./"><img title="&lt;-" alt="&lt;-" src="../images/left.gif" /></a></div>
  19 <div id="path">
  20 <a href="http://www.apache.org/">Apache</a> &gt; <a href="http://httpd.apache.org/">HTTP Server</a> &gt; <a href="http://httpd.apache.org/docs-project/">Documentation</a> &gt; <a href="../">Version 2.1</a> &gt; <a href="./">Modules</a></div>
  21 <div id="page-content">
  22 <div id="preamble"><h1>Apache Module mod_authz_host</h1>
  23 <div class="toplang">
  24 <p><span>Available Languages: </span><a href="../en/mod/mod_authz_host.html" title="English">&nbsp;en&nbsp;</a> |
  25 <a href="../ja/mod/mod_authz_host.html" hreflang="ja" rel="alternate" title="Japanese">&nbsp;ja&nbsp;</a></p>
  26 </div>
  27 <table class="module"><tr><th><a href="module-dict.html#Description">Description:</a></th><td>Group authorizations based on host (name or IP
  28 address)</td></tr>
  29 <tr><th><a href="module-dict.html#Status">Status:</a></th><td>Base</td></tr>
  30 <tr><th><a href="module-dict.html#ModuleIdentifier">Module Identifier:</a></th><td>authz_host_module</td></tr>
  31 <tr><th><a href="module-dict.html#SourceFile">Source File:</a></th><td>mod_authz_host.c</td></tr>
  32 <tr><th><a href="module-dict.html#Compatibility">Compatibility:</a></th><td>Available in Apache 2.1 and later</td></tr></table>
  33 <h3>Summary</h3>
  34
  35     <p>The directives provided by <code class="module"><a href="../mod/mod_authz_host.html">mod_authz_host</a></code> are
  36     used in <code class="directive"><a href="../mod/core.html#directory">&lt;Directory&gt;</a></code>,
  37     <code class="directive"><a href="../mod/core.html#files">&lt;Files&gt;</a></code>, and
  38     <code class="directive"><a href="../mod/core.html#location">&lt;Location&gt;</a></code> sections
  39     as well as <code><a href="core.html#accessfilename">.htaccess</a>
  40     </code> files to control access to particular parts of the server.
  41     Access can be controlled based on the client hostname, IP address, or
  42     other characteristics of the client request, as captured in <a href="../env.html">environment variables</a>. The <code class="directive"><a href="#allow">Allow</a></code> and <code class="directive"><a href="#deny">Deny</a></code> directives are used to
  43     specify which clients are or are not allowed access to the server,
  44     while the <code class="directive"><a href="#order">Order</a></code>
  45     directive sets the default access state, and configures how the
  46     <code class="directive"><a href="#allow">Allow</a></code> and <code class="directive"><a href="#deny">Deny</a></code> directives interact with each
  47     other.</p>
  48
  49     <p>Both host-based access restrictions and password-based
  50     authentication may be implemented simultaneously. In that case,
  51     the <code class="directive"><a href="../mod/core.html#satisfy">Satisfy</a></code> directive is used
  52     to determine how the two sets of restrictions interact.</p>
  53
  54     <p>In general, access restriction directives apply to all
  55     access methods (<code>GET</code>, <code>PUT</code>,
  56     <code>POST</code>, etc). This is the desired behavior in most
  57     cases. However, it is possible to restrict some methods, while
  58     leaving other methods unrestricted, by enclosing the directives
  59     in a <code class="directive"><a href="../mod/core.html#limit">&lt;Limit&gt;</a></code> section.</p>
  60 </div>
  61 <div id="quickview"><h3 class="directives">Directives</h3>
  62 <ul id="toc">
  63 <li><img alt="" src="../images/down.gif" /> <a href="#allow">Allow</a></li>
  64 <li><img alt="" src="../images/down.gif" /> <a href="#deny">Deny</a></li>
  65 <li><img alt="" src="../images/down.gif" /> <a href="#order">Order</a></li>
  66 </ul>
  67 <h3>See also</h3>
  68 <ul class="seealso">
  69 <li><code class="directive"><a href="../mod/core.html#satisfy">Satisfy</a></code></li>
  70 <li><code class="directive"><a href="../mod/core.html#require">Require</a></code></li>
  71 </ul></div>
  72
  73 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
  74 <div class="directive-section"><h2><a name="Allow" id="Allow">Allow</a> <a name="allow" id="allow">Directive</a></h2>
  75 <table class="directive">
  76 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Controls which hosts can access an area of the
  77 server</td></tr>
  78 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code> Allow from all|<var>host</var>|env=<var>env-variable</var>
  79 [<var>host</var>|env=<var>env-variable</var>] ...</code></td></tr>
  80 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
  81 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>Limit</td></tr>
  82 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Base</td></tr>
  83 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_authz_host</td></tr>
  84 </table>
  85     <p>The <code class="directive">Allow</code> directive affects which hosts can
  86     access an area of the server. Access can be controlled by
  87     hostname, IP Address, IP Address range, or by other
  88     characteristics of the client request captured in environment
  89     variables.</p>
  90
  91     <p>The first argument to this directive is always
  92     <code>from</code>. The subsequent arguments can take three
  93     different forms. If <code>Allow from all</code> is specified, then
  94     all hosts are allowed access, subject to the configuration of the
  95     <code class="directive"><a href="#deny">Deny</a></code> and <code class="directive"><a href="#order">Order</a></code> directives as discussed
  96     below. To allow only particular hosts or groups of hosts to access
  97     the server, the <em>host</em> can be specified in any of the
  98     following formats:</p>
  99
 100     <dl>
 101       <dt>A (partial) domain-name</dt>
 102
 103       <dd>
 104       <div class="example"><h3>Example:</h3><p><code>
 105         Allow from apache.org
 106       </code></p></div>
 107       <p>Hosts whose names match, or end in, this string are allowed
 108       access. Only complete components are matched, so the above
 109       example will match <code>foo.apache.org</code> but it will not
 110       match <code>fooapache.org</code>. This configuration will cause
 111       Apache to perform a double reverse DNS lookup on the client IP
 112       address, regardless of the setting of the <code class="directive"><a href="../mod/core.html#hostnamelookups">HostnameLookups</a></code> directive.  It will do
 113       a reverse DNS lookup on the IP address to find the associated
 114       hostname, and then do a forward lookup on the hostname to assure
 115       that it matches the original IP address.  Only if the forward
 116       and reverse DNS are consistent and the hostname matches will
 117       access be allowed.</p></dd>
 118
 119       <dt>A full IP address</dt>
 120
 121       <dd>
 122       <div class="example"><h3>Example:</h3><p><code>
 123         Allow from 10.1.2.3
 124       </code></p></div>
 125       <p>An IP address of a host allowed access</p></dd>
 126
 127       <dt>A partial IP address</dt>
 128
 129       <dd>
 130       <div class="example"><h3>Example:</h3><p><code>
 131         Allow from 10.1
 132       </code></p></div>
 133       <p>The first 1 to 3 bytes of an IP address, for subnet
 134       restriction.</p></dd>
 135
 136       <dt>A network/netmask pair</dt>
 137
 138       <dd>
 139       <div class="example"><h3>Example:</h3><p><code>
 140         Allow from 10.1.0.0/255.255.0.0
 141       </code></p></div>
 142       <p>A network a.b.c.d, and a netmask w.x.y.z. For more
 143       fine-grained subnet restriction.</p></dd>
 144
 145       <dt>A network/nnn CIDR specification</dt>
 146
 147       <dd>
 148       <div class="example"><h3>Example:</h3><p><code>
 149         Allow from 10.1.0.0/16
 150       </code></p></div>
 151       <p>Similar to the previous case, except the netmask consists of
 152       nnn high-order 1 bits.</p></dd>
 153     </dl>
 154
 155     <p>Note that the last three examples above match exactly the
 156     same set of hosts.</p>
 157
 158     <p>IPv6 addresses and IPv6 subnets can be specified as shown
 159     below:</p>
 160
 161     <div class="example"><p><code>
 162        Allow from fe80::a00:20ff:fea7:ccea<br />
 163        Allow from fe80::a00:20ff:fea7:ccea/10
 164     </code></p></div>
 165
 166     <p>The third format of the arguments to the
 167     <code class="directive">Allow</code> directive allows access to the server
 168     to be controlled based on the existence of an <a href="../env.html">environment variable</a>. When <code>Allow from
 169     env=<var>env-variable</var></code> is specified, then the request is
 170     allowed access if the environment variable <var>env-variable</var>
 171     exists. The server provides the ability to set environment
 172     variables in a flexible way based on characteristics of the client
 173     request using the directives provided by
 174     <code class="module"><a href="../mod/mod_setenvif.html">mod_setenvif</a></code>. Therefore, this directive can be
 175     used to allow access based on such factors as the clients
 176     <code>User-Agent</code> (browser type), <code>Referer</code>, or
 177     other HTTP request header fields.</p>
 178
 179     <div class="example"><h3>Example:</h3><p><code>
 180       SetEnvIf User-Agent ^KnockKnock/2\.0 let_me_in<br />
 181       &lt;Directory /docroot&gt;<br />
 182       <span class="indent">
 183         Order Deny,Allow<br />
 184         Deny from all<br />
 185         Allow from env=let_me_in<br />
 186       </span>
 187       &lt;/Directory&gt;
 188     </code></p></div>
 189
 190     <p>In this case, browsers with a user-agent string beginning
 191     with <code>KnockKnock/2.0</code> will be allowed access, and all
 192     others will be denied.</p>
 193
 194 </div>
 195 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 196 <div class="directive-section"><h2><a name="Deny" id="Deny">Deny</a> <a name="deny" id="deny">Directive</a></h2>
 197 <table class="directive">
 198 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Controls which hosts are denied access to the
 199 server</td></tr>
 200 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code> Deny from all|<var>host</var>|env=<var>env-variable</var>
 201 [<var>host</var>|env=<var>env-variable</var>] ...</code></td></tr>
 202 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
 203 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>Limit</td></tr>
 204 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Base</td></tr>
 205 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_authz_host</td></tr>
 206 </table>
 207     <p>This directive allows access to the server to be restricted
 208     based on hostname, IP address, or environment variables. The
 209     arguments for the <code class="directive">Deny</code> directive are
 210     identical to the arguments for the <code class="directive"><a href="#allow">Allow</a></code> directive.</p>
 211
 212 </div>
 213 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 214 <div class="directive-section"><h2><a name="Order" id="Order">Order</a> <a name="order" id="order">Directive</a></h2>
 215 <table class="directive">
 216 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Controls the default access state and the order in which
 217 Allow and Deny are
 218 evaluated.</td></tr>
 219 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code> Order <var>ordering</var></code></td></tr>
 220 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>Order Deny,Allow</code></td></tr>
 221 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
 222 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>Limit</td></tr>
 223 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Base</td></tr>
 224 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_authz_host</td></tr>
 225 </table>
 226     <p>The <code class="directive">Order</code> directive controls the default
 227     access state and the order in which <code class="directive"><a href="#allow">Allow</a></code> and <code class="directive"><a href="#deny">Deny</a></code> directives are evaluated.
 228     <var>Ordering</var> is one of</p>
 229
 230     <dl>
 231       <dt><code>Deny,Allow</code></dt>
 232
 233       <dd>The <code class="directive"><a href="#deny">Deny</a></code> directives
 234       are evaluated before the <code class="directive"><a href="#allow">Allow</a></code> directives. Access is
 235       allowed by default. Any client which does not match a
 236       <code class="directive"><a href="#deny">Deny</a></code> directive or does
 237       match an <code class="directive"><a href="#allow">Allow</a></code>
 238       directive will be allowed access to the server.</dd>
 239
 240       <dt><code>Allow,Deny</code></dt>
 241
 242       <dd>The <code class="directive"><a href="#allow">Allow</a></code>
 243       directives are evaluated before the <code class="directive"><a href="#deny">Deny</a></code> directives. Access is denied
 244       by default. Any client which does not match an <code class="directive"><a href="#allow">Allow</a></code> directive or does match a
 245       <code class="directive"><a href="#deny">Deny</a></code> directive will be
 246       denied access to the server.</dd>
 247
 248       <dt><code>Mutual-failure</code></dt>
 249
 250       <dd>Only those hosts which appear on the <code class="directive"><a href="#allow">Allow</a></code> list and do not appear on
 251       the <code class="directive"><a href="#deny">Deny</a></code> list are
 252       granted access. This ordering has the same effect as <code>Order
 253       Allow,Deny</code> and is deprecated in favor of that
 254       configuration.</dd>
 255     </dl>
 256
 257     <p>Keywords may only be separated by a comma; <em>no whitespace</em> is
 258     allowed between them. Note that in all cases every <code class="directive"><a href="#allow">Allow</a></code> and <code class="directive"><a href="#deny">Deny</a></code> statement is evaluated.</p>
 259
 260     <p>In the following example, all hosts in the apache.org domain
 261     are allowed access; all other hosts are denied access.</p>
 262
 263     <div class="example"><p><code>
 264       Order Deny,Allow<br />
 265       Deny from all<br />
 266       Allow from apache.org
 267     </code></p></div>
 268
 269     <p>In the next example, all hosts in the apache.org domain are
 270     allowed access, except for the hosts which are in the
 271     foo.apache.org subdomain, who are denied access. All hosts not
 272     in the apache.org domain are denied access because the default
 273     state is to deny access to the server.</p>
 274
 275     <div class="example"><p><code>
 276       Order Allow,Deny<br />
 277       Allow from apache.org<br />
 278       Deny from foo.apache.org
 279     </code></p></div>
 280
 281     <p>On the other hand, if the <code class="directive">Order</code> in the last
 282     example is changed to <code>Deny,Allow</code>, all hosts will
 283     be allowed access. This happens because, regardless of the
 284     actual ordering of the directives in the configuration file,
 285     the <code>Allow from apache.org</code> will be evaluated last
 286     and will override the <code>Deny from foo.apache.org</code>.
 287     All hosts not in the <code>apache.org</code> domain will also
 288     be allowed access because the default state will change to
 289     <em>allow</em>.</p>
 290
 291     <p>The presence of an <code class="directive">Order</code> directive can affect
 292     access to a part of the server even in the absence of accompanying
 293     <code class="directive"><a href="#allow">Allow</a></code> and <code class="directive"><a href="#deny">Deny</a></code> directives because of its effect
 294     on the default access state. For example,</p>
 295
 296     <div class="example"><p><code>
 297       &lt;Directory /www&gt;<br />
 298       <span class="indent">
 299         Order Allow,Deny<br />
 300       </span>
 301       &lt;/Directory&gt;
 302     </code></p></div>
 303
 304     <p>will deny all access to the <code>/www</code> directory
 305     because the default access state will be set to
 306     <em>deny</em>.</p>
 307
 308     <p>The <code class="directive">Order</code> directive controls the order of access
 309     directive processing only within each phase of the server's
 310     configuration processing. This implies, for example, that an
 311     <code class="directive"><a href="#allow">Allow</a></code> or <code class="directive"><a href="#deny">Deny</a></code> directive occurring in a
 312     <code class="directive"><a href="../mod/core.html#location">&lt;Location&gt;</a></code> section will
 313     always be evaluated after an <code class="directive"><a href="#allow">Allow</a></code> or <code class="directive"><a href="#deny">Deny</a></code> directive occurring in a
 314     <code class="directive"><a href="../mod/core.html#directory">&lt;Directory&gt;</a></code> section or
 315     <code>.htaccess</code> file, regardless of the setting of the
 316     <code class="directive">Order</code> directive. For details on the merging
 317     of configuration sections, see the documentation on <a href="../sections.html">How Directory, Location and Files sections
 318     work</a>.</p>
 319
 320 </div>
 321 </div>
 322 <div class="bottomlang">
 323 <p><span>Available Languages: </span><a href="../en/mod/mod_authz_host.html" title="English">&nbsp;en&nbsp;</a> |
 324 <a href="../ja/mod/mod_authz_host.html" hreflang="ja" rel="alternate" title="Japanese">&nbsp;ja&nbsp;</a></p>
 325 </div><div id="footer">
 326 <p class="apache">Copyright 1999-2004 The Apache Software Foundation.<br />Licensed under the <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p>
 327 <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/directives.html">Directives</a> | <a href="../faq/">FAQ</a> | <a href="../glossary.html">Glossary</a> | <a href="../sitemap.html">Sitemap</a></p></div>
 328 </body></html>