Month: July 2012

現在新的瀏覽器都支援解讀 HTTP Response Header: X-Frame-Options 這個條件，因此我在自己的伺服器上面加了這個選項，主要是我的網站不想被人家用 frameset 或是 iframe 包起來。

There are two possible values for X-Frame-Options:

DENY
The page cannot be displayed in a frame, regardless of the site attempting to do so.

SAMEORIGIN
The page can only be displayed in a frame on the same origin as the page itself.

ref: The X-Frame-Options response header

如果是 Apache2 的話很簡單，不用改程式，可以直接用 Module 做掉：

1. 在 Apache2 啟動時一併載入 mod_headers.so (如果是 debian 可以用 sudo a2enmod headers 來啟用)

2. 自己新增一個 conf 檔，裡面寫上

Header always append X-Frame-Options SAMEORIGIN


至於選項要是 SAMEORIGIN 還是 DENY 就看需求而定，之後重起 Apache2 就完成了。

今天晚上感覺機器突然變慢了，查了一下 access.log 發現有個從大陸四川來的 ip (125.66.125.201) 狂戳我的機器存取一個八百年前就刪掉的檔案。

所以我下了 ufw reject from 125.66.125.201 ，然後重新載入 ufw ，不過 HTTP 的 request 還是一直灌進來…

我只好再下 ufw status 把規則都打開來檢查我剛剛下的 rule 有沒有新增進去，結果發現

Status: active

To                         Action      From
--                         ------      ----
.............
80/tcp                     ALLOW       Anywhere
Anywhere                   REJECT      125.66.125.201

原來是允許 TCP 80 的那條 rule 優先於阻擋的惡意 ip 的 rule ，所以手動調整一下順序，把阻擋惡意 ip 的 rule 放到第一位：

sudo ufw insert 1 reject from 125.66.125.201

收工…

備註：有兩種阻擋方式，分別是 reject 和 deny ，reject 就是直接忽略所有封包，至於 deny 則是會通知送出封包的人：「他的封包被拒絕了」，基本上直接 reject 就好了。

update: Sometimes it is desirable to let the sender know when traffic is being denied, rather than simply ignoring it. In these cases, use reject instead of deny. from ufw man page

這邊我之前寫錯了，剛剛重新翻一下文件，應該是 reject 會讓發送者知道被拒絕，而 deny 則是直接 drop 封包。在行為上： reject 會讓 client 直接得到 “Connection refused” ，而 deny 則是會讓程式一直等到 timeout 。

感謝大神開示 (詳見本文 comment #1)