• 如何给Nginx配置访问IP白名单

    一、Nginx配置访问IP白名单

    有时部署的应用需要只允许某些特定的IP能够访问，其他IP不允许访问，这时，就要设置访问白名单；

    设置访问白名单有多种方式：
    1.通过网络防火墙配置，例如阿里云/华为云管理平台
    2.通过服务器防火墙配置,iptables
    3.通过nginx配置访问分发限制
    4.通过nginx的allow、deny参数进行访问限制（本文使用此方案）

    Nginx白名单使用allow和deny来控制，该配置可以添加在http段，也可以server、location中

    如果想增加允许访问的IP范围，例如10.10.10.0~10.10.10.255，需要使用CIDR格式表示你的IP范围，在Nginx中默认仅允许IP地址和CIDR格式，CIDR转IPv4网站：https://www.ipaddressguide.com/cidr

    示例一
    nginx所有代理生效，仅允许192.168.1.6的访问，其他所有IP均不能访问。

    1. http {
    2. ......
    3. allow 192.168.1.6;
    4. deny all;
    5. ......
    6. }

    示例二
    nginx某个端口server代理生效，仅允许192.168.1.6和192.168.1.6的访问，其他所有IP均不能访问。

    1. server {
    2. ......
    3. allow 192.168.1.6;
    4. allow 192.168.1.8;
    5. deny all;
    6. ......
    7. }

    示例三
    nginx某个location代理生效，仅允许192.168.1.6和192.168.2.0~192.168.2.255网段的访问，其他所有IP均不能访问。

    1. location /screen {
    2. ......
    3. allow 192.168.1.6;
    4. allow 192.168.2.0/24;
    5. deny all;
    6. ......
    7. }

    修改完成后，重载nginx配置文件生效：sbin/nginx -s reload

    注意：如果本机也需要访问这个代理，记得加上allow 127.0.0.1;

    配套操作：互联网上，一般访问端client的IP都不是本机的局域网IP，而是运营商的出口IP，需要注意；


    查询方法：百度或者搜狗，输入关键词“IP”，然后点击“IP地址查询”相关搜索结果，即可查询到自己的IP。
    不确定或者不能访问外网的话，就在nginx的报错日志里找，logs/error.log，能找到访问此nginx的IP。

    二、Nginx添加白名单的四种方式
    1）添加防火墙白名单

    针对nginx域名配置所启用的端口(比如80端口)在iptables里做白名单，比如只允许100.110.15.16、100.110.15.17、100.110.15.18访问.但是这样就把nginx的所有80端口的域名访问都做了限制，范围比较大！

    2）利用$remote_addr参数进行访问的分发限制

    如果只是针对nginx下的某一个域名进行访问的白名单限制，那么可以在nginx的配置文件里进行设置，如下：

    1. ##白名单设置，只允许下面三个来源ip的客户端以及本地能访问该站。主要是下面这三行
    2.  
    3. if ($remote_addr !~ ^(100.110.15.16|100.110.15.17|100.110.15.18|127.0.0.1)) {
    4.  
    5. rewrite ^.*$ /maintence.php last;
    6.  
    7. }

    3）也可以使用$http_x_forwarded_for参数进行访问的分发限制，如下：
    1. ##白名单设置，只允许下面三个来源ip的客户端以及本地能访问该站。
    2.  
    3. if ($http_x_forwarded_for !~ ^(100.110.15.16|100.110.15.17|100.110.15.18|127.0.0.1)) {
    4.  
    5. rewrite ^.*$ /maintence.php last;
    6.  
    7. }

    4）还可以利用nginx的allow、deny参数进行访问限制
    1. ##白名单设置，只允许下面三个来源ip的客户端以及本地能访问该站。
    2.  
    3. allow 100.110.15.16;
    4.  
    5. allow 100.110.15.17;
    6.  
    7. allow 100.110.15.18;
    8.  
    9. allow 127.0.0.1;
    10.  
    11. deny all;

    三、Nginx根据用户IP设置访问跳转

    第一种方法

    根据$remote_addr客户端IP地址判断，判断成功即返回301跳转，可以写正则，如果有大量不规则IP就很头疼了。

    1. if ($remote_addr = 192.168.1.123) {
    2.     return 301 https://blog.whsir.com;
    3. }

    第二种方法

    nginx通过lua实现，这方法是孔大神给的，将需要做301跳转的IP，直接写到/tmp/ip文件中，支持网段，一行一个，添加后不需要重启nginx，即时生效。

    注意nginx要编译lua模块才可以使用，我的whsir一键包nginx已集成lua。

    1. rpm -ivh http://mirrors.whsir.com/centos/whsir-release-centos.noarch.rpm
    2.  
    3. yum install wnginx -y
    1. set_by_lua $info '
    3.     local opt = ngx.var.remote_addr
    5.     local file = io.popen("ip=" ..opt.. ";if grep -q $ip /tmp/ip;then echo $ip; exit 0;fi ; for net in $(grep / /tmp/ip);do [ $(ipcalc -n $ip/${net#*/}) = $(ipcalc -n $net) ] && echo $ip && break; done")
    7.     content1 = file:read("*l")
    9.     return content1
    11. ';
    12.  
    13.  
    14.  
    15. if ( $info = $remote_addr) {
    16.  
    17.     return 301 https://blog.whsir.com;
    18.  
    19. }
    四、nginx配置IP白名单的详细步骤

    分析nginx访问日志，有哪些IP访问过nginx。

    命令参考：

    awk '{print $1}' logs/access.log | sort | uniq -c | sort -nr -k1

    输出的效果案例：

    1053 192.168.3.15
    893 192.168.3.10
    818 192.168.0.8


    1、添加IP白名单文件

    在nginx目录的 conf 中添加文件 ip.conf，注意白名单文件不用添加任何注释，可以有空行

    vi ip.conf
    1. 192.168.3.11 1;
    2.  
    3. 192.168.3.10 1;
    4. 192.168.0.112 1;


    2、配置nginx.conf
    编辑http节点：

    1. http {
    2.  
    3.     # ...
    4.  
    5.     # geo IP whitelist
    6.  
    7.     geo $remote_addr $ip_whitelist {
    8.  
    9.        default 0;
    10.  
    11.        include ip.conf;
    12.  
    13.     }
    14.  
    15.     # ...
    16.  
    17. }

    编辑server节点：

    1. server {
    2.  
    3.     listen       80;
    4.  
    5.     # ...
    6.  
    7.     # IP whitelist
    8.  
    9.     set $whitelist_flag 1;
    10.  
    11.     if ( $ip_whitelist != 1 ) {
    12.  
    13.        set $whitelist_flag "${whitelist_flag}0";
    14.  
    15.     }
    16.  
    17.     if ( $request_uri !~* '/warn_navigate_page' ) {
    18.  
    19.        set $whitelist_flag "${whitelist_flag}0";
    20.  
    21.     }
    22.  
    23.     if ( $whitelist_flag = "100" ) {
    24.  
    25.        #return 403;
    26.  
    27.        rewrite ^(.*)$ $scheme://$host:$server_port/warn_navigate_page break; #白名单的提示页面
    28.  
    29.     }
    30.  
    31.     # ...
    32.  
    33. }

    也可以在location节点中编辑，示例：

    编辑location节点：

    1. location /test {
    2.  
    3.     proxy_pass  http://IP/test;
    4.  
    5.     # ...
    6.  
    7.     # IP whitelist
    8.  
    9.     set $whitelist_flag 1;
    10.  
    11.     if ( $ip_whitelist != 1 ) {
    12.  
    13.             set $whitelist_flag "${whitelist_flag}0";
    14.  
    15.     }
    16.  
    17.     if ( $request_uri !~* '/warn_navigate_page' ) {
    18.  
    19.             set $whitelist_flag "${whitelist_flag}0";
    20.  
    21.     }
    22.  
    23.     if ( $whitelist_flag = "100" ) {
    24.  
    25.             #return 403;
    26.  
    27.             rewrite ^(.*)$ $scheme://$host:$server_port/warn_navigate_page break; #白名单的提示页面
    28.  
    29.     }
    30.  
    31.   
    32.  
    33.     # ...
    34.  
    35. }

    添加导航的提示页 /warn_navigate_page

    1. server {
    2.  
    3.     listen       80;
    4.  
    5.     # ...
    6.  
    7.     # 白名单的提示导航页面
    8.  
    9.     location /warn_navigate_page {
    10.  
    11.         root /home/java/nginx/bizapp/warn_navigate_page;
    12.  
    13.         index  warn_navigate_page.html warn_navigate_page.htm;
    14.  
    15.         rewrite ^(.*)$ /warn_navigate_page.html break;
    16.  
    17.     }
    18.  
    19. }

    3、编辑白名单的提示导航页面
    在 /home/java/nginx/bizapp/warn_navigate_page 中编辑页面warn_navigate_page.html

    参考：

    1. html>
    2.  
    3. <html lang="en">
    4.  
    5. <head>
    6.  
    7.     <meta charset="utf-8">
    8.  
    9.     <meta name="viewport" content="width=device-width,initial-scale=1.0,maximum-scale=1.0,user-scalable=no">
    10.  
    11.     <meta content="yes" name="apple-mobile-web-app-capable">
    12.  
    13.     <meta content="black" name="apple-mobile-web-app-status-bar-style">
    14.  
    15.     <meta content="telephone=no" name="format-detection">
    16.  
    17.     <meta content="email=no" name="format-detection">
    18.  
    19.     <title>系统通知title>
    20.  
    21.     <style type="text/css">
    22.  
    23.         body {
    24.  
    25.             background: url(https://www.baidu.com/img/PCtm_d9c8750bed0b3c7d089fa7d55720d6cf.png) no-repeat;
    26.  
    27.             background-size: 100% 100%;
    28.  
    29.             background-attachment: fixed;
    30.  
    31.         }
    32.  
    33.     style>
    34.  
    35. head>
    36.  
    37. <body>
    38.  
    39.     <div>
    40.  
    41.         <pre>                                                                                     【通知公告】
    42.  
    43.         尊敬的用户您好，系统已不提供IP地址直接访问，请联系管理员添加白名单。互联网的域名访问地址：<a href="https://www.baidu.com">跳转https://www.weidianyuedu.coma>
    44.  
    45.         pre>
    46.  
    47.     div>
    48.  
    49. body>
    50.  
    51. <script type="text/javascript">
    52.  
    53. script>
    54.  
    55. html>


     参考：https://blog.csdn.net/wanzhong11/article/details/131396910

    https://blog.csdn.net/hdxx2022/article/details/132020861

    https://blog.whsir.com/post-4430.html

  • 相关阅读:
    java计算机毕业设计医院挂号系统源程序+mysql+系统+lw文档+远程调试
    Go WaitGroup 和 Cond 实现原理
    【Pygame 学习笔记】8.精灵
    海量品牌内容精细化运作，如何成为可能？
    【第34篇】MPViT：用于密集预测的多路径视觉转换器
    STL 红黑树源码分析
    【mysql】centos安装mysql8
    C++——编译和链接原理笔记
    Pytorch深度学习 - 学习笔记
    Rxjava学习（一）简单分析Rxjava调用流程
  • 原文地址：https://blog.csdn.net/lxw1844912514/article/details/133320686