Nginx访问控制

Nginx 提供了多种方式来进行访问控制，这些方式可以帮助你根据不同的条件（如 IP 地址、用户身份、请求方法等）来限制或允许对你的网站或应用程序的访问。以下是一些常用的 Nginx 访问控制方法和配置示例。

一、基于 IP 地址的访问控制

你可以使用 allow 和 deny 指令来根据客户端的 IP 地址允许或拒绝访问。这些指令可以用于 http, server, 或 location 块中。

配置示例

server {
    listen 80;
    server_name example.com;

    location /admin {
        # 只允许特定IP地址访问 /admin
        allow 192.168.1.100;
        allow 10.0.0.0/24;
        deny all;

        # 其他配置
        proxy_pass http://backend;
    }

    location / {
        # 允许所有访问
        allow all;

        # 其他配置
        proxy_pass http://backend;
    }
}

在这个示例中：

只有 IP 地址 192.168.1.100 和 10.0.0.0/24 网段的客户端可以访问 /admin 路径。
其他所有客户端将被拒绝访问 /admin。
对于其他路径（/），允许所有客户端访问。

二、基于用户身份的访问控制

你可以使用 HTTP 基本认证（Basic Authentication）来根据用户身份进行访问控制。

配置步骤

创建密码文件

使用 htpasswd 工具创建密码文件：

# Ubuntu安装htpasswd
apt install apache2-utils

htpasswd -c /etc/nginx/.htpasswd username

根据提示输入密码，这将创建一个包含用户名和加密密码的文件。

配置 Nginx

在 Nginx 配置文件中使用 auth_basic 和 auth_basic_user_file 指令：

server {
listen 80;
server_name example.com;

location /admin {
    auth_basic "Restricted Access";
    auth_basic_user_file /etc/nginx/.htpasswd;

    # 其他配置
    proxy_pass http://backend;
    }
}

在这个示例中：

访问 /admin 路径需要提供用户名和密码进行身份验证。

三、基于请求方法的访问控制

你可以使用 limit_except 指令来根据请求方法进行访问控制。

配置示例

server {
    listen 80;
    server_name example.com;

    location /api {
        # 只允许 GET 和 POST 请求方法
        limit_except GET POST {
            deny all;
        }

        # 其他配置
        proxy_pass http://backend;
    }
}

在这个示例中：

只允许 GET 和 POST 请求方法，其他请求方法（如 PUT, DELETE）将被拒绝。

案例

1.1 允许/拒绝特定 IP 地址

可以通过 allow 和 deny 指令来配置哪些 IP 地址可以或不可以访问。

server {
    listen 80;
    server_name example.com;

    location / {
        allow 192.168.1.0/24;  # 允许 192.168.1.0/24 网段访问
        deny all;              # 拒绝所有其他 IP
    }
}

1.2 仅允许特定 IP

只允许特定的 IP 地址访问，其他 IP 地址全部拒绝。

server {
    listen 80;
    server_name example.com;

    location / {
        allow 203.0.113.1;     # 允许指定的 IP 地址
        deny all;              # 拒绝其他所有 IP
    }
}

2. 基于用户代理的访问控制

可以根据请求中的 User-Agent 头部字段来限制访问。例如，阻止某些爬虫或恶意请求。

server {
    listen 80;
    server_name example.com;

    location / {
        if ($http_user_agent ~* "badbot|maliciousbot") {
            return 403;  # 返回 403 Forbidden
        }
    }
}

3. 基于访问密码的控制

可以使用 Nginx 的基本认证来保护某些资源。首先，需要使用 htpasswd 命令生成凭据文件。

3.1 创建用户密码文件

sudo htpasswd -c /etc/nginx/.htpasswd username

接下来，在 Nginx 配置中使用以下配置保护某个路径：

server {
    listen 80;
    server_name example.com;

    location /protected {
        auth_basic "Restricted Access";  # 认证提示
        auth_basic_user_file /etc/nginx/.htpasswd;  # 用户密码文件路径
    }
}

4. 基于请求速率的限制

可以使用 Nginx 的限流功能来限制访问速率。例如，限制某个 IP 的请求次数。

http {
    limit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s;  # 每秒 1 次请求

    server {
        listen 80;
        server_name example.com;

        location / {
            limit_req zone=mylimit burst=5;  # 允许突发请求
        }
    }
}

5. 基于 HTTP 方法的访问控制

可以限制某些 HTTP 方法的请求，比如只允许 GET 和 POST 方法，拒绝 DELETE 和 PUT 方法。

server {
    listen 80;
    server_name example.com;

    location / {
        if ($request_method !~ ^(GET|POST)$) {
            return 444;  # 返回 444 No Response，关闭连接
        }
    }
}

6. 基于 URL 路径的访问控制

可以通过条件判断访问特定路径。例如，只允许访问某些路径。

server {
    listen 80;
    server_name example.com;

    location / {
        return 403;  # 默认拒绝访问
    }

    location /allowed {
        # 允许匿名访问的路径
        return 200;  # 允许访问
    }
}

7. 定义返回状态码

可以通过 Nginx 的配置来生成自定义的返回状态码。

server {
    listen 80;
    server_name example.com;

    location / {
        return 404;  # 返回 404 Not Found
    }
}

总结

Nginx 提供了丰富的访问控制功能，实践中可以根据具体需求灵活设置。通过结合使用以上各种方法，可以有效保护应用程序的安全性，避免恶意访问和流量攻击。在进行配置时，建议在测试环境中进行验证后，再应用到生产环境。

Z笔记

左老师的课堂笔记

Nginx访问控制