文章出处：设计前沿收集 作者：未知　发布时间：2007-09-20 浏览次数：47
<广告>

　　当然主要有技术含量的是点DNS的解析，我正给我们公司负责，先查资料的说...‘

我们通常所说的虚拟主机技术就是将一台（或者一组）服务器的资源（系统资源、网络带宽、存储空间等）按照一定的比例分割成若干台相对独立的“小主机”的技术。每一台这样的“小主机”在功能上都可以实现WWW、FTP、Mail等基本的Internet服务，就像使用独立的主机一样。
　
    目前网站服务器的虚拟主机平台使用以开放的Apache为最多，其次是微软的Windows IIS。Apache具有跨平台（FreeBSD/Linux/Windows/Solaris/Other UNIX）、易于维护与最佳安全性等优点。
    Apache是率先支持基于IP虚拟主机的服务器之一。 Apache 1.1及其更新版本同时支持基于IP和基于主机名的虚拟主机，不同的虚拟主机有时会被称为基于主机(host-based) 或非IP虚拟主机(non-IP virtual hosts)。

    用Apache设置虚拟主机服务通常可以采用两种方案：基于IP地址的虚拟主机和基于主机名字的虚拟主机，下面我们分别介绍一下它们的实现方法以及优缺点。以便大家在具体的应用中能够选择最合适的实现方法。

   一、Apache实现基于IP地址的虚拟主机(每个站点拥有一个独立IP地址)

    使用这种虚拟主机方式，首先要在服务器上为每个虚拟主机单独设置一个IP地址。这些IP地址可以通过增加多个网卡或者在一个网卡上设立多个IP地址来完成。有了多个IP地址后，可以采用以下两种方式之一来设置Apache。

1、为每个虚拟主机运行一份Apache
    采用这种方式，每一份Apache程序可以以单独的用户运行，因此各个虚拟主机之间互不影响。设置这种虚拟主机时，只要为每一份Apache设置一套配置文件就可以了，唯一需要注意的是：必须使用“Listen”语句，强制每一份Apache 仅仅在属于“自己”的IP地址上接收服务请求。

    优点：各个虚拟主机之间互不干扰，安全性高。
    缺点：占用系统资源较多。

2、多个虚拟主机共享同一份Apache
    采用这种方式，各个虚拟主机共享同一份Apache，因此各个虚拟主机之间有一定的影响，尤其是执行CGI程序时，可能会带来一些严重的安全问题。设置这种虚拟主机时，只要为每一个虚拟主机设置类似如下的信息即可：
    <VirtualHost www.ghq1.com>
    DocumentRoot /www/ghq1
    …
    </VirrualHost>

    优点：占用系统资源比上一种方式少。
    缺点：安全性低，每个虚拟主机仍然需要占用一个IP地址。

  
    例如服务器一个网卡上绑定有两个IP地址（172.16.3.40和 172.16.3.50）分别对应域名 www.ghq1.com和www.ghq2.org的服务，配置如下：

    服务器配置（apache的配置文件httpd.conf）
    Listen 80

    <VirtualHost 172.16.3.40>
    DocumentRoot /www/ghq1
    ServerName www.ghq1.com
    </VirtualHost>

    <VirtualHost 172.16.3.50>
    DocumentRoot /www/ghq2
    ServerName www.ghq2.org
    </VirtualHost>

    配置简单说明：“Listen”默认httpd服务会监控第80号通信端口， “Listen”选项让用户自行指定apache 服务器监控的IP地址或通信端口。

    “DocumentRoot”：指定apache 服务器存放网页的根目录；“ServerName”：允许用户自行设置主机名，这个名称将被送到远程连接程序，以取代安装apache 服务器主机的真实名称。<VirtualHost IP >和</VirtualHost>构成虚拟主机的语法结构，其中的IP就是我们在服务器上绑定的不同的IP地址，也可以是IP地址加上通信端口号（见下面的例子）。

    如果服务器有两个IP地址（172.16.3.40和 172.16.3.50）分别对应域名 www.ghq1.com和www.ghq2.org。对每个域名，我们都希望在80端口和8080端口发布我们的网站。可以这样配置：

    服务器配置（apache的配置文件httpd.conf）
    Listen 172.16.3.40:80
    Listen 172.16.3.40:8080
    Listen 172.16.3.50:80
    Listen 172.16.3.50:8080

    <VirtualHost 172.16.3.40:80>
    DocumentRoot /www/ghq1-80
    ServerName www.ghq1.com
    </VirtualHost>

    <VirtualHost 172.16.3.40:8080>
    DocumentRoot /www/ghq1-8080
    ServerName www.ghq1.com
    </VirtualHost>

    <VirtualHost 172.16.3.50:80>
    DocumentRoot /www/ghq2-80
    ServerName www.ghq1.org
    </VirtualHost>

    <VirtualHost 172.16.3.50:8080>
    DocumentRoot /www/ghq2-8080
    ServerName www.ghq2.org
    </VirtualHost>

    因此，建立虚拟主机，我们要做好不同的IP对应的域名解析工作，建立相应的目录（如/www/ghq1），将相应的主页内容存放在相应的目录中即可。

二、Apache实现基于主机名的虚拟主机服务(一个IP地址实现多个网站)
  
    基于主机名字的虚拟主机服务，是目前虚拟主机比较常用的一种方案。因为它不需要更多的IP地址，无须什么特殊的软硬件支持。而且现在的浏览器大都支持这种虚拟主机的实现方法。基于域名的的虚拟主机是根据客户端提交的HTTP头中的关于主机名的部分决定的。使用这种技术，很多虚拟主机可以享用同一个IP地址。

    基于域名的虚拟主机相对比较简单，因为我们只需要配置DNS服务器将每个主机名映射（CNAMES）到正确的IP地址，然后配置Apache HTTP服务器，令其辨识不同的主机名就可以了。基于域名的服务器也可以缓解IP地址（IPV4）不足的问题。这种方式下，各个虚拟主机共享同一份Apache，因此有CGI程序运行时，安全性也不高。

    优点：只要一个IP地址就可以提供大量的虚拟主机服务。
    缺点：安全性差。维护这些虚拟主机时需要更改配置文件，并且需要重新启动Apache进程才能起作用。因此不适合进行大规模的虚拟主机服务。

    如果服务器只有一个IP地址，而在DNS中有很多映射到这个机器。我们想要在这个机器上运行www.ghq1.com和 www.ghq2.org两个站点。在Apache服务器的配置中创建一个虚拟主机并不会自动在DNS中对主机名做相应更新。我们必须自己在DNS中添加域名来指向我们的IP地址。否则别人是无法看到我们的web 站点。

    服务器配置（apache的配置文件httpd.conf）
    # Ensure that Apache listens on port 80
    Listen 80

    # Listen for virtual host requests on all IP addresses
    NameVirtualHost *

    <VirtualHost *>
    DocumentRoot /www/ghq1
    ServerName www.ghq1.com

    # Other directives here

    </VirtualHost>

    <VirtualHost *>
    DocumentRoot /www/ghq2
    ServerName www.ghq2.org

    # Other directives here

    </VirtualHost>

    因为*（星号）匹配所有的地址，所以主服务器不接收任何请求。因为 www.ghq1.com首先出现在配置文件中，所以它拥有最高优先级，可以认为是默认或首要服务器。这意味着如果一个接受的请求不能与某个ServerName指令相匹配， 它将会由第一个VirtualHost所伺服。

    当我们的IP地址无法确定的时候，使用*是很方便的--比如说， ISP给我们配置的是动态IP地址（如ADSL拨号上网），而我们有使用了某种动态域名解析系统时。因为*匹配任何IP 地址，所以在这样的情况下，不论IP地址如何变化，我们都不需要另外进行配置。上述配置就是我们在绝大多数情况下使用基于域名的虚拟主机时将要用到的。

关于DNS和Apache

本文档的涵义一言以蔽之就是：不要让Apache在解析配置文件的时候用到DNS。 如果Apache在解析配置文件时用到了DNS，您的服务器就会发生可靠性的问题(也可能根本无法启动)， 或者遭致拒绝(偷窃)服务攻击(包括用户可以从其他用户那里偷窃点击)。

一个简单示例
拒绝服务
"main server"地址
避免这些问题的小技巧
附录：进一步的提示

一个简单示例
<VirtualHost www.abc.dom>
ServerAdmin webgirl@abc.dom
DocumentRoot /www/abc
</VirtualHost>

为了让Apache功能正常，一个虚拟主机绝对需要以下两部分的信息： ServerName和与服务器对应的至少一个IP地址。 这个示例没有包括IP地址，于是Apache必须用DNS来查询www.abc.dom的地址。 如果在某些不可预料的情况下，当您的服务器解析配置文件时没有得到DNS的支持， 那么这个虚拟主机 将不会被配置。 它将不会对任何请求作出反应。(在Apache的1.2版本之前，服务器甚至无法启动)。

假设www.abc.dom的IP地址是10.0.0.1。那么看看以下这个配置片断：

<VirtualHost 10.0.0.1>
ServerAdmin webgirl@abc.dom
DocumentRoot /www/abc
</VirtualHost>

现在Apache需要DNS对这个虚拟主机进行反向域名解析来确定ServerName。 如果反向解析失败，那么这将导致这个虚拟主机部分功能丧失。 (在Apache的1.2版本之前，服务器将不能启动)。如果虚拟主机是基于域名的， 它将完全不能使用，但如果它是基于IP的，那么它将很有可能工作。 然而，如果Apache不得不为一个已经包含了服务器域名的服务器产生一个完整的URL， 那么它将可能产生一个无效的URL。

以下是一个可以避免上述两个问题的配置片断.

<VirtualHost 10.0.0.1>
ServerName www.abc.dom
ServerAdmin webgirl@abc.dom
DocumentRoot /www/abc
</VirtualHost>

拒绝服务
拒绝服务主要由(至少)两种形式导致。 如果您在运行Apache 1.2以前的版本，在上述两种情况下，如果您的任何一个虚拟主机的DNS解析失败， 您都会无法启动服务。在一些情况下，DNS解析甚至不在您的控制范围之内。 比如说，如果abc.dom是您的一个客户，而且他们自己控制着DNS。 那么仅仅是因为他们删除了www.abc.dom这个记录， 都会导致您的服务器(1.2之前的版本)无法启动。

另外一种形式就更隐蔽了。比如说下面这个配置片断：

<VirtualHost www.abc.dom>
ServerAdmin webgirl@abc.dom
DocumentRoot /www/abc
</VirtualHost>

<VirtualHost www.def.dom>
ServerAdmin webguy@def.dom
DocumentRoot /www/def
</VirtualHost>

假设您已经为www.abc.dom设定了10.0.0.1， 而为www.def.dom设定了10.0.0.2。 更进一步，假设def.com自己控制DNS。在这种配置下， 您已经把def.com放到了一个可以将所有指向abc.com 的所有流量据为己有的情况之下。为了达到这样的目的， 他们只需要把www.def.dom的地址解析设置成10.0.0.1就可以了。 因为他们控制着自己的DNS服务， 所以您无法阻止他们把www.def.com这个记录指向任何一个IP地址。

然后，所有向10.0.0.1发出的请求 (包括用户所有类似http://www.abc.dom/任何字符的URL) 都将会为def.com这个虚拟主机所接收。 为了更好的理解着一切是怎样发生的， 您需要一个关于Apache是怎样将进入的请求分配给它的虚拟主机的深入说明。 您可以在这里发现一个完整的文档。

"main server"地址
在Apache 1.1中，基于域名的虚拟主机支持 需要Apache知道运行着httpd的主机的IP地址。 一般来说可以用全局变量ServerName(如果存在) 或者调用C的方法gethostname(与在命令行模式下键入hostname得到的返回值一样)。 接着它就会利用DNS来查找这个地址。目前还没有办法避免这样的查找。

如果您担心这样的查找会因为您的DNS服务器没有启动而遭到失败的结果， 您就可以在/etc/hosts中插入一条记录来确定主机名 (此文件中应该已经存在这条记录了，否则您的机器无法正常启动)。 然后，您要确认您的机器已经配置为当DNS解析失败的情况下， 它将会使用/etc/hosts根据所使用的操作系统不同， 您可能需要在/etc/resolv.conf或/etc/nsswitch.conf 两个文件中选择一个进行编辑。

如果您的服务器不必因为其他理由而使用DNS， 您也许不必在把HOSTRESORDER环境变量设置为"local"的情况下运行Apache。 这都取决于您所使用的操作系统和解析库。 如果您没有使用mod_env来控制环境变量，它还将影响到CGI。 强烈建议您参考一下您所使用的操作系统附带的man帮助或FAQ。

避免这些问题的小技巧
在VirtualHost中使用IP地址
在Listen中使用IP地址
确保所有的虚拟主机拥有显式的ServerName定义。
创建一个不包含任何服务页面的<VirtualHost_default_:*>服务器

附录：进一步的提示
涉及到DNS的情况都很让人不舒服。 在Apache 1.2 中，我们努力想让服务器在DNS解析失败的情况下至少保持能够启动， 但可能我们还是没能做到最好。在当今重编号成了必须的Internet上面， 在配置文件中显式的写明IP地址已经成为不合时宜的行为了。

上述盗窃攻击的解决办法是， 在一个正向的DNS查询结果后部署一个逆向DNS解析并将两个域名进行比较。 如果不同，就禁用相应的虚拟主机。 这个方法需要一个正确配置了的逆向域名解析服务器 (因为FTP服务器和TCP封装进行的“双重逆向”DNS处理的普遍应用，这已为大部分管理员所熟知了)。

在某些情况下，如果没有使用IP地址而DNS解析又失败了， 那么正常启动一个基于域名的虚拟主机看来是不可能的。 一些诸如禁用部分配置文件这样的权宜之计会带来比根本不能启动更遭的不可预测的结果。

随着HTTP/1.1的部署以及浏览器和代理服务器开始支持Host头， 我们完全避免使用基于IP的虚拟主机也逐渐成为可能。 这种状况下，web服务器也不必在配置时进行DNS的查询。 但在1997年3月，这些特性的采用还没有广泛到可以在重要的web服务器应用的地步。

http://www.uplinux.com/download/doc/apache/ApacheManual/dns-caveats.html#example

http://www.uplinux.com/download/doc/apache/ApacheManual/mod/core.html#virtualhost

<VirtualHost>和</VirtualHost>用于封装一组仅施用于特定虚拟主机的指令。任何在虚拟主机配置中可以使用的指令也同样可以在这里使用。当服务器接受了一个特定虚拟主机的文档请求时，它会使用封装在<VirtualHost>配置段中的指令。地址可以是

虚拟主机的IP地址；
虚拟主机IP地址对应的完整域名；
字符*，仅与NameVirtualHost *配合使用以匹配所有 的IP地址；或是
字符串_default_，与基于IP的虚拟主机联用以捕获所 有没有匹配的IP地址。
示例
<VirtualHost 10.1.2.3>
ServerAdmin webmaster@host.foo.com
DocumentRoot /www/docs/host.foo.com
ServerName host.foo.com
ErrorLog logs/host.foo.com-error_log
TransferLog logs/host.foo.com-access_log
</VirtualHost>

IPv6的地址必须放入方括号中指定，否则作为可选项的端口号将无法确定。一个IPv6的示例如下：

<VirtualHost [fe80::a00:20ff:fea7:ccea]>
ServerAdmin webmaster@host.foo.com
DocumentRoot /www/docs/host.foo.com
ServerName host.foo.com
ErrorLog logs/host.foo.com-error_log
TransferLog logs/host.foo.com-access_log
</VirtualHost>

每个虚拟主机必须对应不同的IP地址、端口号或是不同的主机名。在第一种情况下，服务器所在物理机器必须配置为可以为多个地址接受IP包。（在机器没有多个网络硬件界面的情况下，如果您的操作系统支持，您可以使用ifconfig alias命令来达到这个目的。）。

当使用基于IP的虚拟主机时，特殊的名称_default_可以在没有匹配上其它列出的虚拟主机的情况下作为匹配任何IP地址的虚拟主机。在没有进行_default_虚拟主机的设定时，在没有IP与请求匹配的情况下，将使用“主服务器”（包括所有在虚拟主机配置段之外的配置）的配置。（但请注意：任何匹配NameVirtualHost指令的IP地址既不会使用"main"服务器配置，也不会使用_default_虚拟主机的配置。 参阅基于域名的虚拟主机文档获得更多详情。）

您可以指定一个：端口来改变匹配的端口。如果没有指定，它将沿用主服务器中离它最近的那个Listen语句指定的值。您也可以指定：*来匹配那个地址上的所有端口。（当您使用_default_时，这是推荐采用的方法。）

安全提示：参阅安全提示文档获得为什么当您存储日志文件的目录对于启动服务器以外的用户来说是可写的会危及服务器安全的详细资料。

注意：<VirtualHost>的使用不会影响到Apache侦听的地址。您也许需要使用Listen来确保Apache侦听着正确的地址。

为调试程序，本机安装iis与apache，无法同时使用80端口，现给出解决方法：

方法一：

IIS5，多IP下共存，IIS为192.168.0.1，apache为192.168.0.2 原文地址
c:\Inetpub\Adminscripts
cscript adsutil.vbs set w3svc/disablesocketpooling true