在Apache服务器配置中，实现仅允许通过域名访问而禁止通过IP地址直接访问，是提升网站安全性、防止恶意域名解析以及集中SEO权重的关键措施，通过合理配置虚拟主机，利用默认虚拟主机的拦截机制，可以有效阻断所有未明确绑定的域名和IP请求，将其返回403禁止访问状态或重定向至指定域名,从而确保服务器资源的合法调用。
禁止IP直接访问的核心价值与安全意义
在深入配置细节之前，必须明确为什么要实施这一策略，从网络安全和搜索引擎优化（SEO）的双重角度来看，开放IP访问存在显著的隐患。防止恶意域名指向是首要任务，许多攻击者会将未备案的恶意域名解析到你的服务器IP地址，如果Apache配置允许IP访问，这些恶意域名就能直接展示你的网站内容，这不仅涉及版权盗用问题，更严重的是，如果攻击者利用你的服务器进行钓鱼或传播非法信息，你的服务器IP可能会被防火墙或安全机构拉黑,导致正规业务无法访问。
集中网站SEO权重是流量管理的核心，搜索引擎蜘蛛在抓取网页时，会将“http://IP地址”和“http://域名”视为两个完全不同的站点，如果两者都能访问，必然导致内容重复，分散了页面的权重，影响域名在搜索引擎中的排名，通过强制只允许域名访问，可以将所有流量和权重统一汇聚到主域名上,提升网站的整体权威度。
基于虚拟主机顺序的拦截原理
Apache处理虚拟主机的逻辑是基于配置文件中的加载顺序和匹配规则，当请求到达服务器时，Apache会根据请求头的Host字段与<VirtualHost>块中的ServerName或ServerAlias进行匹配。核心配置原理在于利用“默认虚拟主机”机制，在Apache中，如果没有匹配到特定的ServerName，则会使用配置文件中出现的第一个<VirtualHost>作为默认处理块，我们需要在配置文件的最前面（通常是httpd.conf或conf.d/000-default.conf）定义一个拦截所有未知请求（包括IP）的虚拟主机,而将正常的业务虚拟主机配置放在其后。
实施方案一：返回403禁止访问（推荐用于安全性优先场景）
这是最直接的处理方式，对于所有尝试通过IP或非绑定域名访问的请求，直接返回403 Forbidden状态码，这种方式能够最清晰地告诉客户端：该资源不可用。
在配置文件的最顶端添加如下配置：
# 默认虚拟主机，用于拦截所有未明确绑定的请求（包括IP访问）
<VirtualHost *:80>
ServerName default
DocumentRoot /var/www/html
# 核心拦截指令
<Location />
Require all denied
Order Deny,Allow
Deny from all
</Location>
# 可选：记录非法访问日志，便于后续分析攻击来源
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>
# 正常业务虚拟主机配置
<VirtualHost *:80>
ServerName www.yourdomain.com
ServerAlias yourdomain.com
DocumentRoot /var/www/html/your-site
# ... 其他配置
</VirtualHost>
Require all denied是Apache 2.4及以上版本的标准语法，它无条件拒绝所有访问请求，通过将此块置于文件首位，任何未匹配到www.yourdomain.com的请求（无论是直接输入IP还是其他解析过来的域名）都会落入这个陷阱,直接被拦截。
实施方案二：301重定向至主域名（推荐用于SEO优化场景）
如果你希望将误入IP地址的用户引导至正确的网站，或者为了最大化回收流量，可以使用301重定向，这种方式对SEO更加友好,因为搜索引擎会将IP的权重传递给目标域名。
配置如下：
<VirtualHost *:80>
ServerName default
# 核心重定向指令
Redirect 301 / https://www.yourdomain.com/
</VirtualHost>
在此配置下，当用户访问IP地址时，浏览器会自动跳转到指定的域名。需要注意的是，如果启用了HTTPS，且用户尝试通过IP访问HTTPS端口（443），由于SSL握手发生在Host字段发送之前，服务器无法立即判断虚拟主机，通常需要配置一个通配符或自签名的SSL证书作为默认虚拟主机，才能完成重定向动作,否则浏览器会报证书错误。
HTTPS环境下的特殊处理与挑战
在HTTP环境下，上述配置非常简单，但在HTTPS环境下，“禁止IP访问”面临着SSL协议层面的挑战，因为客户端在发送HTTP请求头（包含Host信息）之前，必须先完成SSL握手，如果用户访问https://1.2.3.4,服务器必须先出示证书。
为了解决这个问题，你需要为默认的HTTPS虚拟主机配置一个证书，最佳实践是生成一个自签名证书，或者使用一个包含该IP的证书（虽然这很难实现）,配置如下：
<VirtualHost _default_:443>
ServerName default
# 必须指定证书路径，否则握手失败无法返回403或重定向
SSLEngine on
SSLCertificateFile /etc/apache2/ssl/self-signed.crt
SSLCertificateKeyFile /etc/apache2/ssl/self-signed.key
# 拦截或重定向
Require all denied
# 或者 Redirect 301 / https://www.yourdomain.com/
</VirtualHost>
虽然用户访问IP时会看到浏览器关于“证书不信任”的警告（因为证书与IP不匹配），但这依然能有效阻止连接建立后的内容展示，并在用户确认后返回403或跳转,这是目前HTTPS环境下限制IP访问的标准解决方案。
配置验证与故障排查
配置完成后，必须使用apachectl configtest检查语法是否正确，并重启服务，验证时，可以使用curl -I命令查看响应头。
执行 curl -I http://你的服务器IP，如果返回HTTP/1.1 403 Forbidden或HTTP/1.1 301 Moved Permanently，说明配置生效，如果依然能返回200状态码并获取网页内容，说明拦截虚拟主机没有生效，通常是因为配置文件加载顺序问题,或者没有将拦截块放在所有虚拟主机配置的最前面。
相关问答
Q1：配置了禁止IP访问后，为什么通过curl命令依然能获取到网站首页？
A1：这种情况通常是因为curl命令使用了Host头伪装，例如执行curl -I http://服务器IP -H "Host: www.yourdomain.com"，服务器会认为这是一个针对合法域名的请求，从而绕过了IP拦截，这是正常的协议行为，要测试拦截效果，必须确保请求头中的Host字段是IP地址或者任意未被绑定的域名,或者直接在浏览器中输入IP进行测试。
Q2：在Nginx和Apache混合环境下，如何确保IP被完全禁止？
A2：如果你的服务器前端使用了Nginx作为反向代理，后端才是Apache，那么你需要在Nginx层面对IP访问进行控制，因为客户端直接与Nginx交互，Apache接收到的请求通常来自Nginx的转发，其IP可能是内网地址，此时应在Nginx的配置文件中添加类似的server块作为默认server，使用deny all或return 403来拦截IP请求,这样性能更好且逻辑更清晰。
希望以上配置方案能帮助你加固服务器安全，如果你在实施过程中遇到关于SSL证书绑定或特定版本Apache语法错误的问题，欢迎在评论区留言,我们将提供进一步的排查建议。
