devbox
2023面试高手
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

如何给Nginx配置访问IP白名单_nginx 白名单

作者：2023面试高手 | 2024-06-14 07:03:50

赞

踩

nginx 白名单
一、Nginx配置访问IP白名单

有时部署的应用需要只允许某些特定的IP能够访问，其他IP不允许访问，这时，就要设置访问白名单；

设置访问白名单有多种方式：
1.通过网络防火墙配置，例如阿里云/华为云管理平台
2.通过服务器防火墙配置,iptables
3.通过nginx配置访问分发限制
4.通过nginx的allow、deny参数进行访问限制（本文使用此方案）

Nginx白名单使用allow和deny来控制，该配置可以添加在http段，也可以server、location中

如果想增加允许访问的IP范围，例如10.10.10.0~10.10.10.255，需要使用CIDR格式表示你的IP范围，在Nginx中默认仅允许IP地址和CIDR格式，CIDR转IPv4网站：https://www.ipaddressguide.com/cidr

示例一
nginx所有代理生效，仅允许192.168.1.6的访问，其他所有IP均不能访问。

  1. http {
  2. ......
  3. allow 192.168.1.6;
  4. deny all;
  5. ......
  6. }

示例二
nginx某个端口server代理生效，仅允许192.168.1.6和192.168.1.6的访问，其他所有IP均不能访问。

  1. server {
  2. ......
  3. allow 192.168.1.6;
  4. allow 192.168.1.8;
  5. deny all;
  6. ......
  7. }

示例三
nginx某个location代理生效，仅允许192.168.1.6和192.168.2.0~192.168.2.255网段的访问，其他所有IP均不能访问。

  1. location /screen {
  2. ......
  3. allow 192.168.1.6;
  4. allow 192.168.2.0/24;
  5. deny all;
  6. ......
  7. }

修改完成后，重载nginx配置文件生效：sbin/nginx -s reload

注意：如果本机也需要访问这个代理，记得加上allow 127.0.0.1;

配套操作：互联网上，一般访问端client的IP都不是本机的局域网IP，而是运营商的出口IP，需要注意；


查询方法：百度或者搜狗，输入关键词“IP”，然后点击“IP地址查询”相关搜索结果，即可查询到自己的IP。
不确定或者不能访问外网的话，就在nginx的报错日志里找，logs/error.log，能找到访问此nginx的IP。

二、Nginx添加白名单的四种方式
1）添加防火墙白名单

针对nginx域名配置所启用的端口(比如80端口)在iptables里做白名单，比如只允许100.110.15.16、100.110.15.17、100.110.15.18访问.但是这样就把nginx的所有80端口的域名访问都做了限制，范围比较大！

2）利用$remote_addr参数进行访问的分发限制

如果只是针对nginx下的某一个域名进行访问的白名单限制，那么可以在nginx的配置文件里进行设置，如下：

  1. ##白名单设置，只允许下面三个来源ip的客户端以及本地能访问该站。主要是下面这三行
  2.  
  3. if ($remote_addr !~ ^(100.110.15.16|100.110.15.17|100.110.15.18|127.0.0.1)) {
  4.  
  5. rewrite ^.*$ /maintence.php last;
  6.  
  7. }

3）也可以使用$http_x_forwarded_for参数进行访问的分发限制，如下：
  1. ##白名单设置，只允许下面三个来源ip的客户端以及本地能访问该站。
  2.  
  3. if ($http_x_forwarded_for !~ ^(100.110.15.16|100.110.15.17|100.110.15.18|127.0.0.1)) {
  4.  
  5. rewrite ^.*$ /maintence.php last;
  6.  
  7. }

4）还可以利用nginx的allow、deny参数进行访问限制
  1. ##白名单设置，只允许下面三个来源ip的客户端以及本地能访问该站。
  2.  
  3. allow 100.110.15.16;
  4.  
  5. allow 100.110.15.17;
  6.  
  7. allow 100.110.15.18;
  8.  
  9. allow 127.0.0.1;
  10.  
  11. deny all;

三、Nginx根据用户IP设置访问跳转

第一种方法

根据$remote_addr客户端IP地址判断，判断成功即返回301跳转，可以写正则，如果有大量不规则IP就很头疼了。

  1. if ($remote_addr = 192.168.1.123) {
  2.     return 301 https://blog.whsir.com;
  3. }

第二种方法

nginx通过lua实现，这方法是孔大神给的，将需要做301跳转的IP，直接写到/tmp/ip文件中，支持网段，一行一个，添加后不需要重启nginx，即时生效。

注意nginx要编译lua模块才可以使用，我的whsir一键包nginx已集成lua。

  1. rpm -ivh http://mirrors.whsir.com/centos/whsir-release-centos.noarch.rpm
  2.  
  3. yum install wnginx -y
  1. set_by_lua $info '
  3.     local opt = ngx.var.remote_addr
  5.     local file = io.popen("ip=" ..opt.. ";if grep -q $ip /tmp/ip;then echo $ip; exit 0;fi ; for net in $(grep / /tmp/ip);do [ $(ipcalc -n $ip/${net#*/}) = $(ipcalc -n $net) ] && echo $ip && break; done")
  7.     content1 = file:read("*l")
  9.     return content1
  11. ';
  12.  
  13.  
  14.  
  15. if ( $info = $remote_addr) {
  16.  
  17.     return 301 https://blog.whsir.com;
  18.  
  19. }
四、nginx配置IP白名单的详细步骤

分析nginx访问日志，有哪些IP访问过nginx。

命令参考：

awk '{print $1}' logs/access.log | sort | uniq -c | sort -nr -k1

输出的效果案例：

1053 192.168.3.15
893 192.168.3.10
818 192.168.0.8


1、添加IP白名单文件

在nginx目录的 conf 中添加文件 ip.conf，注意白名单文件不用添加任何注释，可以有空行

vi ip.conf
  1. 192.168.3.11 1;
  2.  
  3. 192.168.3.10 1;
  4. 192.168.0.112 1;


2、配置nginx.conf
编辑http节点：

  1. http {
  2.  
  3.     # ...
  4.  
  5.     # geo IP whitelist
  6.  
  7.     geo $remote_addr $ip_whitelist {
  8.  
  9.        default 0;
  10.  
  11.        include ip.conf;
  12.  
  13.     }
  14.  
  15.     # ...
  16.  
  17. }

编辑server节点：

  1. server {
  2.  
  3.     listen       80;
  4.  
  5.     # ...
  6.  
  7.     # IP whitelist
  8.  
  9.     set $whitelist_flag 1;
  10.  
  11.     if ( $ip_whitelist != 1 ) {
  12.  
  13.        set $whitelist_flag "${whitelist_flag}0";
  14.  
  15.     }
  16.  
  17.     if ( $request_uri !~* '/warn_navigate_page' ) {
  18.  
  19.        set $whitelist_flag "${whitelist_flag}0";
  20.  
  21.     }
  22.  
  23.     if ( $whitelist_flag = "100" ) {
  24.  
  25.        #return 403;
  26.  
  27.        rewrite ^(.*)$ $scheme://$host:$server_port/warn_navigate_page break; #白名单的提示页面
  28.  
  29.     }
  30.  
  31.     # ...
  32.  
  33. }

也可以在location节点中编辑，示例：

编辑location节点：

  1. location /test {
  2.  
  3.     proxy_pass  http://IP/test;
  4.  
  5.     # ...
  6.  
  7.     # IP whitelist
  8.  
  9.     set $whitelist_flag 1;
  10.  
  11.     if ( $ip_whitelist != 1 ) {
  12.  
  13.             set $whitelist_flag "${whitelist_flag}0";
  14.  
  15.     }
  16.  
  17.     if ( $request_uri !~* '/warn_navigate_page' ) {
  18.  
  19.             set $whitelist_flag "${whitelist_flag}0";
  20.  
  21.     }
  22.  
  23.     if ( $whitelist_flag = "100" ) {
  24.  
  25.             #return 403;
  26.  
  27.             rewrite ^(.*)$ $scheme://$host:$server_port/warn_navigate_page break; #白名单的提示页面
  28.  
  29.     }
  30.  
  31.   
  32.  
  33.     # ...
  34.  
  35. }

添加导航的提示页 /warn_navigate_page

  1. server {
  2.  
  3.     listen       80;
  4.  
  5.     # ...
  6.  
  7.     # 白名单的提示导航页面
  8.  
  9.     location /warn_navigate_page {
  10.  
  11.         root /home/java/nginx/bizapp/warn_navigate_page;
  12.  
  13.         index  warn_navigate_page.html warn_navigate_page.htm;
  14.  
  15.         rewrite ^(.*)$ /warn_navigate_page.html break;
  16.  
  17.     }
  18.  
  19. }

3、编辑白名单的提示导航页面
在 /home/java/nginx/bizapp/warn_navigate_page 中编辑页面warn_navigate_page.html

参考：

  1. <!DOCTYPE html>
  2.  
  3. <html lang="en">
  4.  
  5. <head>
  6.  
  7.     <meta charset="utf-8">
  8.  
  9.     <meta name="viewport" content="width=device-width,initial-scale=1.0,maximum-scale=1.0,user-scalable=no">
  10.  
  11.     <meta content="yes" name="apple-mobile-web-app-capable">
  12.  
  13.     <meta content="black" name="apple-mobile-web-app-status-bar-style">
  14.  
  15.     <meta content="telephone=no" name="format-detection">
  16.  
  17.     <meta content="email=no" name="format-detection">
  18.  
  19.     <title>系统通知</title>
  20.  
  21.     <style type="text/css">
  22.  
  23.         body {
  24.  
  25.             background: url(https://www.baidu.com/img/PCtm_d9c8750bed0b3c7d089fa7d55720d6cf.png) no-repeat;
  26.  
  27.             background-size: 100% 100%;
  28.  
  29.             background-attachment: fixed;
  30.  
  31.         }
  32.  
  33.     </style>
  34.  
  35. </head>
  36.  
  37. <body>
  38.  
  39.     <div>
  40.  
  41.         <pre>                                                                                     【通知公告】
  42.  
  43.         尊敬的用户您好，系统已不提供IP地址直接访问，请联系管理员添加白名单。互联网的域名访问地址：<a href="https://www.baidu.com">跳转https://www.weidianyuedu.com</a>
  44.  
  45.         </pre>
  46.  
  47.     </div>
  48.  
  49. </body>
  50.  
  51. <script type="text/javascript">
  52.  
  53. </script>
  54.  
  55. </html>


 参考：https://blog.csdn.net/wanzhong11/article/details/131396910

https://blog.csdn.net/hdxx2022/article/details/132020861

https://blog.whsir.com/post-4430.html

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/2023面试高手/article/detail/716921
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号