[Apache-ProFTPd] Order, Allow, Deny 비교

- 작성자 : 김칠봉 <san2(at)linuxchannel.net>
- 작성일 : 2003-11-22
- 내  용 : 아파치와 ProFTPd 의 Order, Allow, Deny 비교
- 수  준 : 초보용
- 키워드 : Apache, ProFTPd, Order Allow, Deny

*주)
이 문서에 대한 최신 내용은 아래 URL에서 확인할 수 있습니다.

http://www.linuxchannel.net/docs/order-apache-vs-proftpd.txt

------------------------------------------------------
1. Apache Order allow,deny
2. ProFTPd Order allow,deny
3. 비교
4. 정리
------------------------------------------------------

1. Apache Order allow,deny
Order directive
- Syntax  : Order ordering
- Default : Order Deny,Allow  <---- Deny 에 없는 것은 모두 Allow 됨
- Context : directory, .htaccess
- Override: Limit
- Status  : Base
- Module  : mod_access

Allow directive
- Syntax  : Allow from all|host|env=variablename [host|env=variablename] ...
- Context : directory, .htaccess
- Override: Limit
- Status  : Base
- Module  : mod_access
- List    : 구분 공백(' ')
  A (partial) domain-name
Example: Allow from apache.org
  A full IP address
Example: Allow from 10.1.2.3
  A partial IP address
Example: Allow from 10.1
  A network/netmask pair
Example: Allow from 10.1.0.0/255.255.0.0
  A network/nnn CIDR specification
Example: Allow from 10.1.0.0/16

  Allow from 10.1.2.3 env=foo  <-- 틀린 경우(X)
  Allow from env=foo 10.1.2.3  <-- 맞는 경우(O), env 가 앞에 옴

기본정책이 Deny 에 없는 것은 모두 Allow 되고, Deny,Allow 사이는 빈공백없이
콤마(,)로 분리.

- Order Deny,Allow
  Allow 를 평가하기 전에 먼저 Deny 를 평가하고, 그 다음 Allow 에 override 함. 그리고 여기에 매치되지 않는 나머지 호스트 모두 Allow 됨. 따라서 이 Order 의 기본정책은 첫번째 Deny 지시자에서 결정함

  즉 순서는,
  1. Deny 매치 우선 결정(기본 정책 결정)
  2. 그 다음 Allow 매치를 override 함
  3. 나머지 포함되지 않은 호스트는 모두 Allow 됨

- Order Allow,Deny
  Deny 를 평가하기 전에 먼저 Allow 를 평가하고, 그 다음 Deny 에 override 함. 그리고 여기에 매치되지 않은 나머지 호스트는 모두 Deny 됨. 이 Order 의 기본정책은 첫번째 Allow 지사자에서 결정함.

(*** 이점이 ProFTPd 와 서로 다름 ***)

ex1) 기본정책은 Allow 이고, 예외로 bad.com hacker.com 은 금지
Order Allow,Deny <-- Order Mutual-failure 와 같음 Allow from all Deny from bad.com hacker.com <-- 리스트 나열은 빈공백으로 구분

ex2) 기본정책은 Deny 이고, 예외로 myhost.com 만 접근을 허용함
Order Deny,Allow Deny from all Allow from myhost.com

ex3) 중요
Order Allow,Deny Allow from apache.org Deny from foo.apache.org

이것은 foo.apache.org 를 제외한 *.apache.org 만 허용하고 나머지 모든 호스트는 접근을 금지함(foo.apache.org 는 당연히 금지)
이유는 Order 순서에 의해서 Deny 를 평가하기 전에 Allow 를 평가하고, 그 다음에 Deny 매치에 override 하기 때문이며, 나머지 매치되지 않는 모든 호스트는 Deny 됨.

ex4) 주의
Order Deny,Allow Deny from all <--- 기본정책이 모두 Deny 임 Allow from aaa.foo.com Allow from bbb.foo.com ccc.foo.com Allow from ddd.com.com Deny from ccc.foo.com <--- *** 이 호스트는 Allow 됨 ****

Allow 를 평가하기 전에 Deny 를 먼저 평가하기 때문에 평가 순서는 다음과 같음.
Order Deny,Allow Deny from all <--- 기본정책이 모두 Deny 임 Deny from ccc.foo.com Allow from aaa.foo.com Allow from bbb.foo.com ccc.foo.com <--- Allow 됨 Allow from ddd.com.com


2. ProFTPd Order allow,deny
Order directive
- Syntax: Order [ Order allow,deny|deny,allow]
- Default : Order allow,deny
- Context : <Limit>
- Module  : mod_core
- Compatibility : 0.99.0pl6 and later

Allow directive
- Syntax  : Allow [ ["from"] "all"|"none"|host|network[,host|network[,...]]]
- Default : Allow from all
- Context : <Limit>
- Module  : mod_core
- Compatibility : 0.99.0pl6 and later
- List    : 구분 컴마(,)
  A (partial) domain-name
Example: Allow from .proftpd.org  <--- 아파치와 다르게 앞에 점 추가
  A full IP address
Example: Allow from 10.1.2.3      <--- 아파치와 같음
  A partial IP address
Example: Allow from 10.1.          <--- 아파치와 다르게 뒤에 점 추가         
  A network/netmask pair                  <--- 없음
  A network/nnn CIDR specification
Example: Allow from 10.1.0.0/16    <--- 아파치와 같음

ProFTPd 의 Order, Allow, Deny 지시자는 Apache와 비슷한 구문을 갖지만 그 결과는 아주 상이함.
- Order deny,allow  <-- 우선권 deny 둠
  allow 를 평가하기 전에 deny 를 먼저 평가하고 결정해 버림(overrid 하지 않음) 그리고 allow 를 평가하고(같은 것이 있으면 deny 가 우선), 나머지 매치되지 않은 모든 호스트는 deny 됨(아파치와 서로 반대임)

- Order allow,deny  <-- 우선권을 allow 둠
  deny 를 평가하기 전에 allow 를 먼저 평가하고 결정해 버림(overrid 하지 않음) 그리고 deny 를 평가하고(같은 것이 있으면 allow 가 우선), 나머지 매치되지 않은 모든 호스트는 allow 됨(아파치와 서로 반대임)

즉 같은 호스트가 allow 와 deny 에 둘다 있을 경우 그 우선권은 Order 지시자에서 설정한 앞부분의 keyword 에 따름.
Order deny,allow Deny from 192.168.0.1 Allow from 192.168.0.

  deny 가 우선이므로 192.168.0.1 은 deny 됨.(Override 되지 않음) 또한 다음과 같이 Order 순서를 그대로 두고, 위치만 바꾸어도 동일함.
Order deny,allow Allow from 192.168.0. Deny from 192.168.0.1

*중요)
ProFTPd 는 Apache 와 같이 Order 의 순서대로 Override 되지 않고, Order 순서에 의해서 먼저 접근을 결정해 버림.
ex1) 특정 호스트만 허용함
<Limit LOGIN> Order allow,deny Allow from 192.168.0.100,192.168.1. Deny from all <--- all 은 매치되지 않은 나머지를 의미함. </Limit>

  192.168.0.100 192.168.1.0/24 만 허용하고 나머지는 모두 접속을 금지함. 즉 특정 호스트만 허용(Allow) 하기 때문에 Order allow,deny 순으로 설정하여 우선권을 allow 가 갖도록함.

ex2) 특정 호스트만 금지함
<Limit LOGIN> Order deny,allow Deny from 192.168.0.100,192.168.1. Allow from all <--- all 은 매치되지 않은 너머지를 의미함. </Limit>
  ex1) 과 서로 반대임

ex3) 부분과 전체
<Limit LOGIN> Order allow,deny Allow from 128.44.26.,128.44.26. Allow from myhost.mydomain.edu,.trusted-domain.org Deny from all </Limit>

  ProFTPd 는 Override 되지 않기 때문에 제일 마지막에 Deny from all 설정이 온다고 하더라고 먼저 설정한 호스트(ex 128.44.26.1)는 Allow 되고, 상위 설정에서 포함되지 않은 나머지 호스트는 제일 마지막에 모두 Deny 됨

ex3) 우선권
<Limit LOGIN> Order deny,allow Allow from 192.168.0. Deny from 192.168.0.152 Deny from all <--- all 은 매치되지 않은 너머지를 의미함. </Limit>

  192.168.0.152 호스트는 앞부분 'Allow from 192.168.0.*'에 포함되지만 Order 순서가 deny 가 우선이므로 결국 이 호스트는 deny 됨. 즉 같은 호스트가 allow 와 deny 에 둘다 있을 경우 그 우선권은 Order 지시자에서 설정한 앞부분의 keyword 에 따름.

<Limit LOGIN> Order deny,allow Deny from 192.168.0.152 Allow from 192.168.0. <--- override 되지 않음 Deny from all <--- all 은 매치되지 않은 너머지를 의미함. </Limit>

  위의 설정도 같은 동일한 설정임.


3. 비교

1) 설정방향
 - Apache  : Order 순서에 의해서 순차적으로 override 됨. 매치되지 않은 나머지 호스트는 Order 의 뒤쪽 keyword 에 따름
 - ProFTPd : Order 순서에 의해서 순차적으로 먼저 결정함. 매치되지 않은 나머지 호스트는 Order 의 앞쪽 keyword 에 따름

2) override 비교
 - Apache  : override 됨(뒤에 온 놈이 장땡)
 - ProFTPd : override 되지 않음(먼저 온 놈(?)이 장땡)

3) 기본 접근정책 비교
 - Apache  : 전체 --> 부분으로 override
 - ProFTPd : 부분 먼저 설정 --> 나머지 결정

4) 리스트 나열 비교
 - Apache  : 빈공백(' ')으로 구분, 여러줄 일 경우 `'와 중복 지시자 모두 가능
Allow from 1.2.3.4 1.2.3.5 \ 1.2.3.6 1.2.3.7 Allow from 10.10.10.1

 - ProFTPd : 컴마(,)로 구분하고 여러줄일 경우는 중복 지시자만 가능
Allow from 1.2.3.4,1.2.3.5,1.2.3.6,1.2.3.7 Allow from 10.10.10.1

5) Partial IP 주소 비교
 - Apache  : 192.168.0 192.168.1    <-- 뒤에 점이 없음
 - ProFTPd : 192.168.0.,192.168.1.  <-- 뒤에 점이 있음

6) Partial domain-name 비교
 - Apache  : foo.com bar.com        <-- 앞에 점이 없음
 - ProFTPd : .foo.com,.bar.com      <-- 앞에 점이 있음


4. 정리
1) 설정 방향
  - Apache
    Order 순서에 의해서 전체를 먼저 설정하고 나머지 부분을 Override 함

  - ProFTPd
    Order 순서에 의해서 부분을 먼저 결정하고 나머지 전체를 설정한

  * 서로 반대임

2) 특정 호스트만 허용할 경우 : 기본 정책이 deny 임
  - Apache
Order Deny,Allow Deny from all Allow from 192.168.0 192.168.1.111

  - ProFTPd
Order allow,deny Allow from 192.168.0.,192.168.1.111 Deny from all <-- 나머지를 의미함

3) 특정 호스트만 막을 경우 : 기본 정책이 allow 임
  - Apache
Order Allow,Deny Allow from all Deny from 192.168.0 192.168.1.111

  - ProFTPd
Order deny,allow Deny from 192.168.0.,192.168.1.111 Allow from all <-- 나머지를 의미함