关于DNS和Apache
本文档的涵义一言以蔽之就是：不要让Apache在解析配置文件的时候用到DNS。 如果Apache在解析配置文件时用到了DNS，您的服务器就会发生可靠性的问题(也可能根本无法启动)， 或者遭致拒绝(偷窃)服务攻击(包括用户可以从其他用户那里偷窃点击)。
一个简单示例
拒绝服务
"main server"地址
避免这些问题的小技巧
附录：进一步的提示
一个简单示例
<VirtualHost www.abc.dom>
ServerAdmin webgirl@abc.dom
DocumentRoot /www/abc
</VirtualHost>
为了让Apache功能正常，一个虚拟主机绝对需要以下两部分的信息： ServerName和与服务器对应的至少一个IP地址。 这个示例没有包括IP地址，于是Apache必须用DNS来查询www.abc.dom的地址。 如果在某些不可预料的情况下，当您的服务器解析配置文件时没有得到DNS的支持， 那么这个虚拟主机 将不会被配置。 它将不会对任何请求作出反应。(在Apache的1.2版本之前，服务器甚至无法启动)。
假设www.abc.dom的IP地址是10.0.0.1。那么看看以下这个配置片断：
<VirtualHost 10.0.0.1>
ServerAdmin webgirl@abc.dom
DocumentRoot /www/abc
</VirtualHost>
现在Apache需要DNS对这个虚拟主机进行反向域名解析来确定ServerName。 如果反向解析失败，那么这将导致这个虚拟主机部分功能丧失。 (在Apache的1.2版本之前，服务器将不能启动)。如果虚拟主机是基于域名的， 它将完全不能使用，但如果它是基于IP的，那么它将很有可能工作。 然而，如果Apache不得不为一个已经包含了服务器域名的服务器产生一个完整的URL， 那么它将可能产生一个无效的URL。
以下是一个可以避免上述两个问题的配置片断.
<VirtualHost 10.0.0.1>
ServerName www.abc.dom
ServerAdmin webgirl@abc.dom
DocumentRoot /www/abc
</VirtualHost>
拒绝服务
拒绝服务主要由(至少)两种形式导致。 如果您在运行Apache 1.2以前的版本，在上述两种情况下，如果您的任何一个虚拟主机的DNS解析失败， 您都会无法启动服务。在一些情况下，DNS解析甚至不在您的控制范围之内。 比如说，如果abc.dom是您的一个客户，而且他们自己控制着DNS。 那么仅仅是因为他们删除了www.abc.dom这个记录， 都会导致您的服务器(1.2之前的版本)无法启动。
另外一种形式就更隐蔽了。比如说下面这个配置片断：
<VirtualHost www.abc.dom>
ServerAdmin webgirl@abc.dom
DocumentRoot /www/abc
</VirtualHost>
<VirtualHost www.def.dom>
ServerAdmin webguy@def.dom
DocumentRoot /www/def
</VirtualHost>
假设您已经为www.abc.dom设定了10.0.0.1， 而为www.def.dom设定了10.0.0.2。 更进一步，假设def.com自己控制DNS。在这种配置下， 您已经把def.com放到了一个可以将所有指向abc.com 的所有流量据为己有的情况之下。为了达到这样的目的， 他们只需要把www.def.dom的地址解析设置成10.0.0.1就可以了。 因为他们控制着自己的DNS服务， 所以您无法阻止他们把www.def.com这个记录指向任何一个IP地址。
