Cách từ chối quyền truy cập vào các tài nguyên dựa trên các tiêu đề X-Forwarded-for

Tôi đang cố gắng hạn chế quyền truy cập vào các tài nguyên đằng sau Nginx dựa trên IP của máy khách được truyền trong các tiêu đề X-Forwarded-for. Nginx đang chạy trong một thùng chứa trên Cụm Kubernetes trên Nền tảng đám mây của Google và ips khách hàng thực sự chỉ được truyền trong tiêu đề x-chuyển tiếp-cho

Cho đến nay tôi đã quản lý để làm điều đó cho một IP duy nhất với mã sau:

set $allow false;
if ($http_x_forwarded_for ~* 123.233.233.123) {
    set $allow true;
}
if ($http_x_forward_for ~* 10.20.30.40) {
    set $allow false;
}
if ($allow = false) {
    return 403;
}

Nhưng làm thế nào tôi có thể làm điều đó cho toàn bộ phạm vi của IP? Chỉ định hàng trăm IP bằng tay không có ý nghĩa nhiều.

Mọi sự giúp đỡ đều được đánh giá cao

Sử dụng mô-đun RealIP để tôn vinh giá trị của X-Forwarded-Fortiêu đề. Đặt set_real_ip_fromthành địa chỉ IP của proxy ngược (giá trị hiện tại của $remote_addr).

Ví dụ:

server {
    ...
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;
    ...
}

Bây giờ bạn có thể sử dụng $remote_addrvà allow/ denychỉ thị bằng địa chỉ IP thực của máy khách. Xem tài liệu này để biết thêm.

Câu trả lời của Richard đã chứa thông tin về cách nhận địa chỉ IP thực sự tốt nhất đến nginx.

Trong khi đó, câu hỏi về việc chỉ định phạm vi IP, bạn có thể sử dụng http://nginx.org/en/docs/http/ngx_http_geo_module.html .

Các geotác phẩm mô-đun như mapmô-đun, có nghĩa là, một biến được các giá trị được gán tùy thuộc vào giá trị của địa chỉ IP.

Một ví dụ:

geo $allow {
    default 0;
    192.168.168.0/24 1;
}

server {
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;

    if ($allow = 0) {
        return 403;
    }
}

Ở đây chúng tôi chỉ định geobản đồ, trong đó giá trị mặc định $allowlà 0. Nếu địa chỉ IP nằm trong mạng con 192.168.168.0/24, thì $allowsẽ nhận được giá trị 1 và yêu cầu được cho phép.

Bạn có thể có nhiều dòng trong geokhối như bạn cần để xác định dải IP của mình.

Có những cái này làm việc cho tôi.

geo $remote_addr $giveaccess {
      proxy 172.0.0.0/8; <-- Private IP range here
      default 0;
      11.22.33.44 1; <-- Allowed IP here
    }


server{
##
    location ^~ /secure_url_here {
        if ($giveaccess = 0){
          return 403; 
        }
        try_files $uri $uri/ /index.php?$args; <-- Add this line specific for your CMS, if required.
    }

Tham chiếu: http://nginx.org/en/docs/http/ngx_http_geo_module.html