上一篇
Apache反向代理具体怎么配置才能稳定运行不出错？
在当今的Web架构中，反向代理扮演着至关重要的角色，它如同一个位于客户端和后端服务器之间的智能中介，接收客户端请求，然后将其转发给一个或多个后端服务器，最后将服务器的响应返回给客户端，整个过程对客户端是透明的，Apache HTTP Server，作为全球最流行的Web服务器之一，通过其强大的模块系统，可以轻松地被配置成一个功能完善的反向代理，本文将深入探讨Apache反向代理的配置方法，从基础概念到高级应用,旨在为读者提供一份详尽且实用的指南。
核心概念与必备模块
要实现Apache的反向代理功能，首先需要确保加载了正确的模块，核心模块是mod_proxy，它提供了代理的基本框架，根据你代理的后端服务类型,还需要启用其他相关模块：
- mod_proxy_http：用于代理HTTP协议的后端服务,这是最常用的场景。
- mod_proxy_ajp：用于代理AJP（Apache JServ Protocol）协议,常用于与Tomcat等Java应用服务器集成。
- mod_proxy_balancer：提供负载均衡功能,可以将请求分发到多个后端服务器。
- mod_ssl：如果需要Apache处理HTTPS请求（即SSL卸载）,则需要此模块。
在基于Debian或Ubuntu的系统上，可以使用a2enmod命令来启用这些模块，
sudo a2enmod proxy sudo a2enmod proxy_http sudo a2enmod proxy_balancer sudo a2enmod ssl sudo systemctl restart apache2
基础反向代理配置
最简单的反向代理场景是将所有对某个域名的请求转发到内网的另一台服务器上，假设我们有一个域名app.example.com，我们希望所有访问它的请求都被Apache转发到内网地址为168.1.100、端口为8080的应用服务器上。
这可以通过在Apache的虚拟主机配置文件（通常位于/etc/apache2/sites-available/目录下）中进行设置,以下是一个完整的配置示例：
指令解析：
- ProxyRequests Off：此指令明确告诉Apache不要作为正向代理服务器运行，这是一个重要的安全措施,防止你的服务器被滥用。
- ProxyPass / http://192.168.1.100:8080/：这是反向代理的核心，它告诉Apache，将所有对路径（即网站根目录）的请求，转发到http://192.168.1.100:8080/。
- ProxyPassReverse / http://192.168.1.100:8080/：此指令负责修正后端服务器返回的响应头，当后端服务器发送重定向响应（301或302）时，Location头中包含的是其内网地址（http://192.168.1.100:8080/some/path）。ProxyPassReverse会将其重写为客户端可见的公网地址（http://app.example.com/some/path）,确保客户端能正确地被重定向。
高级配置：SSL卸载与负载均衡
SSL卸载
当后端应用服务器数量众多或配置复杂时，让所有服务器都处理SSL加密会增加管理开销，可以在反向代理层统一处理SSL，即“SSL卸载”，Apache接收客户端的HTTPS请求，解密后,以普通的HTTP协议转发给后端服务器。
<VirtualHost *:443> ServerName secure.example.com # SSL配置 SSLEngine on SSLCertificateFile /etc/ssl/certs/your_domain.crt SSLCertificateKeyFile /etc/ssl/private/your_domain.key # 代理到后端的HTTP服务器 ProxyPass / http://192.168.1.101:8080/ ProxyPassReverse / http://192.168.1.101:8080/ </VirtualHost> # 可选：将HTTP请求重定向到HTTPS <VirtualHost *:80> ServerName secure.example.com Redirect permanent / https://secure.example.com/ </VirtualHost>
负载均衡
当单个后端服务器无法满足流量需求时，mod_proxy_balancer模块就派上了用场，它可以将请求分发到一个服务器池中,提高应用的可用性和可扩展性。
在这个配置中，我们定义了一个名为myappcluster的负载均衡器池，其中包含三个后端成员。ProxyPass指令现在指向这个balancer://伪URL，Apache会根据lbmethod指定的算法（这里是按请求次数byrequests）将请求分发到池中的服务器。
常用指令速查表
| 指令 | 描述 | 示例 |
|---|---|---|
| ProxyRequests | 开启或关闭正向代理功能，反向代理必须设置为Off。 | ProxyRequests Off |
| ProxyPass | 将本地URL映射到远程服务器，实现代理转发。 | ProxyPass /app/ http://backend:8080/ |
| ProxyPassReverse | 修正后端服务器返回的重定向响应头。 | ProxyPassReverse /app/ http://backend:8080/ |
| ProxyPreserveHost | 是否将原始请求的Host头信息发送给后端服务器。 | ProxyPreserveHost On |
| BalancerMember | 在负载均衡器池中定义一个后端服务器成员。 | BalancerMember http://192.168.1.10:8080 |
相关问答FAQs
我配置了反向代理，但后端应用获取到的客户端IP地址总是Apache服务器的IP，而不是真实的用户IP，该如何解决？
解答： 这是因为在代理过程中，后端服务器直接与Apache通信，因此它看到的客户端IP自然是Apache的IP，要传递真实客户端IP，需要使用mod_remoteip模块，首先启用该模块（a2enmod remoteip），然后在你的虚拟主机配置或全局配置中，指定哪个HTTP头包含了真实IP，Apache会使用X-Forwarded-For头。
配置如下：
RemoteIPHeader X-Forwarded-For RemoteIPInternalProxy 127.0.0.1 # 如果Apache和后端在同一台机器 # 或者 # RemoteIPInternalProxy 192.168.1.0/24 # 如果Apache和后端在同一个内网段
需要确保你的LogFormat中使用了%a（客户端IP）而不是%h（主机IP）,这样访问日志才能正确记录真实IP。
我的应用部署在/app路径下，反向代理配置为ProxyPass /app/ http://backend:8080/，但页面中的CSS、JS等静态资源路径是相对路径（如/css/style.css），导致加载失败，出现404错误。
解答： 这个问题的根源在于后端应用生成的URL路径与代理路径不匹配，浏览器请求https://yourdomain.com/app/，页面返回的HTML中包含<link href="/css/style.css">，浏览器会尝试请求https://yourdomain.com/css/style.css，而这个路径没有匹配到你的ProxyPass规则。
有几种解决方案：
- 修改后端应用： 最佳方案是让后端应用感知到自己被部署在/app路径下，生成正确的绝对路径（如/app/css/style.css）。
- 使用ProxyPassMatch或RewriteRule： 如果无法修改后端，可以在Apache层面进行修正，可以添加额外的代理规则来捕获这些静态资源请求。 ProxyPass /app/ http://backend:8080/ ProxyPassReverse /app/ http://backend:8080/ # 捕获/css/, /js/, /images/等路径并代理到后端 ProxyPass /css/ http://backend:8080/css/ ProxyPass /js/ http://backend:8080/js/ ProxyPass /images/ http://backend:8080/images/
- 使用mod_substitute： 这是一个更强大但性能开销稍大的方法，可以在Apache将HTML内容发送给客户端之前，动态地替换其中的URL。 ProxyPass /app/ http://backend:8080/
ProxyPassReverse /app/ http://backend:8080/
AddOutputFilterByType SUBSTITUTE text/html
Substitute "s|href="/css/|href="/app/css/|i"
Substitute "s|src="/js/|src="/app/js/|i"
这种方法需要仔细编写替换规则,确保覆盖所有情况。
