Apache2：为FQDN正确设置default-ssl.conf

Question

我想知道如何正确设置“default-ssl.conf”参数，这些参数与VPS主域或FQDN相关（在本例中为“server.foo.org”）。

特别是在“default-ssl.conf”中是否需要指示ServerName和最近的ServerAlias值？

由于

示例：

没有ServerName ：

<IfModule mod_ssl.c>
    <VirtualHost _default_:443>
        ServerAdmin webmaster@localhost

        DocumentRoot /var/www/html
[ETC..]

使用ServerName ：

<IfModule mod_ssl.c>
        <VirtualHost *:443>
                ServerAdmin webmaster@localhost
                ServerName foo.org
                ServerAlias server.foo.org www.server.foo.org www.foo.org
                DocumentRoot /var/www/html
[ETC..]

Answer 1

使用虚拟主机后备（带有apache2的default_server）会增加虚拟主机混淆攻击的风险。

防止这些攻击的一种方法是确保Web服务器只回答他应该访问的域。 （如果他可以回答一个他不应该被默认虚拟主机中提供的证书覆盖的域名，那么它可能是易受攻击的）

因此，最好将虚拟主机专用于您的域，并单独使用默认主机。

论文：

http://antoine.delignat-lavaud.fr/doc/www15.pdf3

https://bh.ht.vc/vhost_confusion.pdf2