nginx---访问控制

时间 2019-11-19

标签 nginx 访问控制栏目 Nginx 繁體版

原文原文链接

Nginx访问控制 —— deny_allow

Nginx的deny和allow指令是由ngx_http_access_module模块提供，Nginx安装默认内置了该模块。
除非在安装时有指定 --without-http_access_module。

语法php

语法：allow/deny address | CIDR | unix: | all

它表示，容许/拒绝某个ip或者一个ip段访问.若是指定unix:,那将容许socket的访问。
注意：unix在1.5.1中新加入的功能。

在nginx中，allow和deny的规则是按顺序执行的。

示例html

示例1：node

location /
{
    allow 192.168.0.0/24;
    allow 127.0.0.1;
    deny all;
}

说明：这段配置只容许192.168.0.0/24网段和127.0.0.1的请求，其余来源IP所有拒绝。

示例2：linux

location ~ "admin"
{
allow 110.21.33.121;
deny all
}

说明：访问的uri中包含admin的请求，只容许110.21.33.121这个IP的请求。

基于location的访问控制

在生产环境中，咱们会对某些特殊的请求进行限制，好比对网站的后台进行限制访问。
这就用到了location配置。

示例1nginx

location /aming/
{
    deny all;
}

说明：针对/aming/目录，所有禁止访问，这里的deny all能够改成return 403.

示例2正则表达式

location ~ ".bak|\.ht"
{
    return 403;
}
说明：访问的uri中包含.bak字样的或者包含.ht的直接返回403状态码。

测试连接举例：
1. www.aminglinux.com/123.bak
2. www.aminglinux.com/aming/123/.htalskdjf

示例3浏览器

location ~ (data|cache|tmp|image|attachment).*\.php$
{
    deny all;
}

说明：请求的uri中包含data、cache、tmp、image、attachment而且以.php结尾的，所有禁止访问。

测试连接举例：
1. www.aminglinux.com/aming/cache/1.php
2. www.aminglinux.com/image/123.phps
3. www.aminglinux.com/aming/datas/1.php

Nginx基于$document_uri的访问控制

这就用到了变量$document_uri，根据前面所学内容，该变量等价于$uri，其实也等价于location匹配。

示例1服务器

if ($document_uri ~ "/admin/")
{
    return 403;
}

说明：当请求的uri中包含/admin/时，直接返回403.

if结构中不支持使用allow和deny。

测试连接：
1. www.aminglinux.com/123/admin/1.html 匹配
2. www.aminglinux.com/admin123/1.html  不匹配
3. www.aminglinux.com/admin.php  不匹配

示例2并发

if ($document_uri = /admin.php)
{
    return 403;
}

说明：请求的uri为/admin.php时返回403状态码。

测试连接：
1. www.aminglinux.com/admin.php 匹配
2. www.aminglinux.com/123/admin.php  不匹配

示例3curl

if ($document_uri ~ '/data/|/cache/.*\.php$')
{
    return 403;
}

说明：请求的uri包含data或者cache目录，而且是php时，返回403状态码。

测试连接：
1. www.aminglinux.com/data/123.php  匹配
2. www.aminglinux.com/cache1/123.php 不匹配

nginx基于$request_uri访问控制

$request_uri比$docuemnt_uri多了请求的参数。
主要是针对请求的uri中的参数进行控制。

示例

if ($request_uri ~ "gid=\d{9,12}")
{
    return 403;
}

说明：\d{9,12}是正则表达式，表示9到12个数字，例如gid=1234567890就符号要求。

测试连接：
1. www.aminglinux.com/index.php?gid=1234567890&pid=111  匹配
2. www.aminglinux.com/gid=123  不匹配

背景知识：
曾经有一个客户的网站cc攻击，对方发起太多相似这样的请求：/read-123405150-1-1.html
实际上，这样的请求并非正常的请求，网站会抛出一个页面，提示帖子不存在。
因此，能够直接针对这样的请求，return 403状态码。

Nginx基于$user_agent的访问控制

user_agent你们并不陌生，能够简单理解成浏览器标识，包括一些蜘蛛爬虫均可以经过user_agent来辨识。
经过观察访问日志，能够发现一些搜索引擎的蜘蛛对网站访问特别频繁，它们并不友好。
为了减小服务器的压力，其实能够把除主流搜索引擎蜘蛛外的其余蜘蛛爬虫所有封掉。
另外，一些cc攻击，咱们也能够经过观察它们的user_agent找到规律。

示例

if ($user_agent ~ 'YisouSpider|MJ12bot/v1.4.2|YoudaoBot|Tomato')
{
    return 403;
}
说明：user_agent包含以上关键词的请求，所有返回403状态码。

测试：
1. curl -A "123YisouSpider1.0"
2. curl -A "MJ12bot/v1.4.1"

Nginx基于$http_referer的访问控制

在前面讲解rewrite时，曾经用过该变量，当时实现了防盗链功能。
其实基于该变量，咱们也能够作一些特殊的需求。

示例

背景：网站被黑挂马，搜索引擎收录的网页是有问题的，当经过搜索引擎点击到网站时，却显示一个博彩网站。
因为查找木马须要时间，不能立刻解决，为了避免影响用户体验，能够针对此类请求作一个特殊操做。
好比，能够把从百度访问的连接直接返回404状态码，或者返回一段html代码。

if ($http_referer ~ 'baidu.com')
{
    return 404;
}

或者

if ($http_referer ~ 'baidu.com')
{
    return 200 "<html><script>window.location.href='//$host$request_uri';</script></html>

}

Nginx的限速

能够经过ngx_http_limit_conn_module和ngx_http_limit_req_module模块来实现限速的功能。

ngx_http_limit_conn_module

该模块主要限制下载速度。

1. 并发限制

nginx.conf配置示例

http
{
    ...
    limit_conn_zone $binary_remote_addr zone=aming:10m;
    ...
}


虚拟主机：
    server
    {
        ...
        limit_conn aming 10;    放到location外面也能够
        ...   
    }

说明：首先用limit_conn_zone定义了一个内存区块索引aming，大小为10m，它以$binary_remote_addr做为key。
该配置只能在http里面配置，不支持在server里配置。

limit_conn 定义针对aming这个zone，并发链接为10个。在这须要注意一下，这个10指的是单个IP的并发最多为10个。

使用httpd的工具进行测试，能够经过日志看结果

ab -n 5 -c 5 http://www.tobeblog.com/nginx-1.14.2.tar.gz

-n 访问几回
-c 并发几回

2. 速度限制

nginx.conf配置:

http

{
... limit_conn_zone $binary_remote_addr zone=aming:10m; ...
}

虚拟主机：

location ~ /download/ {
    ...
    limit_rate_after 512k;
    limit_rate 150k;
    ...
}
说明：limit_rate_after定义当一个文件下载到指定大小（本例中为512k）以后开始限速；
limit_rate 定义下载速度为150k/s。

注意：这两个参数针对每一个请求限速。

ngx_http_limit_req_module

该模块主要用来限制请求数。

1. limit_req_zone

语法: limit_req_zone $variable zone=name:size rate=rate;
默认值: none
配置段: http

设置一块共享内存限制域用来保存键值的状态参数。 特别是保存了当前超出请求的数量。 
键的值就是指定的变量（空值不会被计算）。
如limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;

说明：区域名称为one，大小为10m，平均处理的请求频率不能超过每秒一次,键值是客户端IP。
使用$binary_remote_addr变量， 能够将每条状态记录的大小减小到64个字节，这样1M的内存能够保存大约1万6千个64字节的记录。
若是限制域的存储空间耗尽了，对于后续全部请求，服务器都会返回 503 (Service Temporarily Unavailable)错误。
速度能够设置为每秒处理请求数和每分钟处理请求数，其值必须是整数，
因此若是你须要指定每秒处理少于1个的请求，2秒处理一个请求，可使用 “30r/m”(一秒钟30次)。 r -> request

2. limit_req

语法: limit_req zone=name [burst=number] [nodelay];
默认值: —
配置段: http, server, location

设置对应的共享内存限制域和容许被处理的最大请求数阈值。 
若是请求的频率超过了限制域配置的值，请求处理会被延迟，因此全部的请求都是以定义的频率被处理的。 
超过频率限制的请求会被延迟，直到被延迟的请求数超过了定义的阈值，
这时，这个请求会被终止，并返回503 (Service Temporarily Unavailable) 错误。

这个阈值的默认值为0。如：
limit_req_zone $binary_remote_addr zone=aming:10m rate=1r/s;
server {
    location /upload/ {
        limit_req zone=aming burst=5;    burst能够理解为银行办理业务的窗口有几个
    }
}

限制平均每秒不超过一个请求，同时容许超过频率限制的请求数很少于5个。

若是不但愿超过的请求被延迟，能够用nodelay参数,如：

limit_req zone=aming burst=5 nodelay;

示例

nginx.conf:

注意zone的名称不能同样

http {
    limit_req_zone $binary_remote_addr zone=aming1:10m rate=1r/s;
}


虚拟主机:
    server {
        location  ^~ /download/ {  
            limit_req zone=aming1 burst=5;
        }
    }

测试：

ab -n 5 -c 5 http://www.tobeblog.com/nginx-1.14.2.tar.gz

设定白名单IP

若是是针对公司内部IP或者lo（127.0.0.1）不进行限速，如何作呢？这就要用到geo模块了。

假如，预把127.0.0.1和192.168.100.0/24网段设置为白名单，须要这样作。
在http { }里面增长：
geo $limited {
    default 1;
    127.0.0.1/32 0; 
    192.168.100.0/24 0;
}

map $limited $limit {
    1 $binary_remote_addr;
    0 "";
}

原来的 “limit_req_zone $binary_remote_addr ” 改成“limit_req_zone $limit”


完整示例：

http {
    geo $limited {
        default 1;
        127.0.0.1/32 0;
        192.168.100.0/24 0;
    }

    map $limited $limit {
        1 $binary_remote_addr;
        0 "";
    }
    
    limit_req_zone $limit zone=aming:10m rate=1r/s;

    server {
        location  ^~ /download/ {  
            limit_req zone=aming burst=5;
        }
    }
}