Apache为何无法通过IP访问网站？

下面我将从最常见到最不常见的原因,为你详细梳理排查步骤和解决方案。

问题核心原因分析

无法通过 IP 访问网站的根本原因有以下几点：

1. 虚拟主机配置优先级问题 (最常见)：当你配置了基于名称的虚拟主机（NameVirtualHost）后，Apache 会优先根据 ServerName 或 ServerAlias 来匹配请求，如果一个 IP 地址的请求没有匹配到任何 VirtualHost 块，或者匹配到了一个错误的块,就会出现问题。
2. 云服务商/防火墙安全组策略：云服务器（如阿里云、腾讯云、AWS）或物理服务器上的防火墙（如 iptables, firewalld, Windows Defender）可能阻止了 80 (HTTP) 或 443 (HTTPS) 端口的访问。
3. Apache 本地监听配置：Apache 的主配置文件 (httpd.conf) 中可能没有正确配置监听在服务器的公网 IP 地址上。
4. SELinux 或 AppArmor 等强制访问控制策略：这些系统安全策略可能会阻止 Apache 服务绑定到网络端口或访问网站文件。

排查与解决步骤（请按顺序操作）

第 1 步：检查虚拟主机配置（最关键）

这是 90% 情况下的罪魁祸首，Apache 的虚拟主机设计逻辑是：有明确的 VirtualHost 配置，才处理该域名的请求；如果没有匹配的，就使用第一个定义的 VirtualHost 作为默认站点；如果配置不当，甚至可能拒绝 IP 访问。

操作方法：

1. 找到你的虚拟主机配置文件，通常位于 /etc/apache2/sites-enabled/ (Debian/Ubuntu) 或 /etc/httpd/conf.d/ (CentOS/RHEL) 目录下，文件名通常是 000-default.conf, default.conf 或你的域名 .conf。

   
   （图片来源网络，侵删）

2. 检查配置文件内容，打开你的主配置文件（000-default.conf）,你会看到类似这样的结构：

   # 注意：在 Apache 2.4+ 中，NameVirtualHost 指令已不再需要，但 VHost 的写法是核心
   <VirtualHost *:80>
       ServerAdmin webmaster@localhost
       DocumentRoot /var/www/html  # 默认网站根目录
       ServerName yourdomain.com
       ServerAlias www.yourdomain.com
       ErrorLog ${APACHE_LOG_DIR}/error.log
       CustomLog ${APACHE_LOG_DIR}/access.log combined
   </VirtualHost>

3. 定位问题并修复：

   • 情况 A：IP 访问被重定向到某个域名 如果你通过 IP 访问，浏览器被自动跳转到了 yourdomain.com，这说明 IP 请求被上面的这个 VirtualHost 捕获了，由于 ServerName 是 yourdomain.com，Apache 可能会强制进行 301 重定向。 解决方案：在这个 VirtualHost 块的开头添加一行，明确告诉 Apache 这个虚拟主机不响应 IP 访问。

     <VirtualHost *:80>
         ServerName yourdomain.com
         ServerAlias www.yourdomain.com
         # 关键：将 IP 请求的流量重定向到域名
         RewriteEngine on
         RewriteCond %{HTTP_HOST} ^^([0-9]+\.)+[0-9]+$  # 匹配纯 IP 地址
         RewriteRule ^/(.*)$ http://yourdomain.com/$1 [L,R=301]
         # ... 其他配置 ...
     </VirtualHost>

     这样，任何直接访问 IP 的请求都会被永久重定向到你的域名。

     
     （图片来源网络，侵删）

   • 情况 B：IP 访问显示的是另一个网站 这说明你有一个更靠前的 VirtualHost 块没有 ServerName，或者它的 DocumentRoot 是错的。 解决方案：检查所有启用的虚拟主机配置文件，确保没有哪个 VirtualHost 块会错误地捕获 IP 请求。

   • 情况 C：IP 访问显示 "It works!" 或默认页面 这说明你的 IP 访问请求被 Apache 的默认站点（通常是第一个 VirtualHost 或 DocumentRoot）处理了，这可能不是你想要的，特别是当你网站已经配置好域名后。 解决方案：为 IP 地址专门创建一个默认虚拟主机，或者将默认站点的 DocumentRoot 指向你想要的网站目录。

     推荐做法：创建一个专门的 IP 虚拟主机 在你的主配置文件（如 000-default.conf）的最顶部，在所有其他 VirtualHost 定义之前,添加如下配置：

     # 专门用于处理 IP 地址访问的虚拟主机
     <VirtualHost YOUR_SERVER_IP:80>
         ServerAdmin admin@yourdomain.com
         DocumentRoot /var/www/html  # 或者你希望 IP 访问时显示的目录
         ServerAlias YOUR_SERVER_IP # 可选，明确指定别名
         # 记录 IP 访问的日志，方便排查
         ErrorLog /var/log/apache2/ip-access-error.log
         CustomLog /var/log/apache2/ip-access-access.log combined
     </VirtualHost>
     # 下面是你基于域名的虚拟主机
     <VirtualHost *:80>
         ServerName yourdomain.com
         DocumentRoot /var/www/yourdomain
         # ... 其他配置 ...
     </VirtualHost>

     重要：将 YOUR_SERVER_IP 替换成你服务器的实际公网 IP 地址。

第 2 步：检查防火墙和安全组

确保服务器的 80 和 443 端口是开放的。

1. 云服务商安全组：

   • 登录你的云服务器控制台（阿里云、腾讯云等）。
   • 找到“安全组”或“防火墙”规则。
   • 检查入站规则，确保有规则允许来自 0.0.0/0（所有 IP）的 TCP 流量访问 80 端口和 443 端口。

2. 服务器本地防火墙：

   • CentOS/RHEL (使用 firewalld):

     sudo firewall-cmd --permanent --add-service=http
     sudo firewall-cmd --permanent --add-service=https
     sudo firewall-cmd --reload

   • Ubuntu/Debian (使用 ufw):

     sudo ufw allow 80/tcp
     sudo ufw allow 443/tcp
     sudo ufw reload

   • 传统 iptables:

     sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
     sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
     sudo service iptables save # 或使用 iptables-persistent 保存

第 3 步：检查 Apache 的监听配置

确保 Apache 监听在正确的 IP 地址和端口上。

1. 打开 Apache 的主配置文件，通常是 /etc/apache2/ports.conf (Debian/Ubuntu) 或 /etc/httpd/conf/httpd.conf (CentOS/RHEL)。

2. 查找 Listen 指令,它应该如下所示：

   # 监听所有接口的 80 端口
   Listen 80
   # 如果你的服务器有多个 IP，并且只想让 Apache 监听其中一个
   # Listen 192.168.1.100:80

   Listen 80 就足够了，它会绑定到服务器的所有 IP 地址，如果你需要精确控制，可以指定 IP 地址。

第 4 步：检查 SELinux（仅限 CentOS/RHEL 系统）

SELinux 是一个强大的安全模块，有时会“过于严格”地阻止服务。

1. 检查 SELinux 状态：

   sestatus

   如果返回 SELinux status: enabled，说明 SELinux 已启用。

2. 临时关闭 SELinux 进行测试（不推荐用于生产环境）：

   sudo setenforce 0

   如果此时 IP 可以访问了，说明就是 SELinux 的问题。

3. 永久修复 SELinux 策略（推荐）： 将 Apache 的网络端口和文件上下文设置为正确值。

   # 允许 Apache 监听 80 和 443 端口
   sudo semanage port -a -t http_port_t -p tcp 80
   sudo semanage port -a -t http_port_t -p tcp 443
   # 如果你的网站文件不在默认位置，需要修复文件上下文
   # 假设你的网站目录是 /var/www/my