Проблема ограничения доступа к сайтам, директориям и файлам, которые располагаются на вашем сервере не является редкой и может возникнуть в десятках, если не сотнях случаев: реконструкция или разработка сайта, доступ к которому нужно ограничить его командой до завершения процесса, региональные или локальные проекты, борьба со школохацкерами и т.п.
1. Как при помощи nginx заблокировать доступ с определенного ip к некоторой секции сайта?
Открываем конфигурационный файл вашего сайта:
nano /etc/nginx/sites-available/sitename.com
Находим или создаем локейшн, доступ к которому нужно закрыть с определенного ip, например «111.222.333.444»:
location /testdir {
deny 111.222.333.444;
}
После чего нужно не забыть проверить правильность конфигурации командой:
nginx -t
И в обязательном порядке перезагрузить nginx:
sudo servcie nginx restart
Или просто заставить его перечитать конфигурационные файлы:
sudo service nginx reload
Дополнительно вы можете вывести свою страницу ошибки или даже сделать переадресацию на другой сайт:
location /testdir {
error_page 403 = @deny;
deny 111.222.333.444;
}
location @deny {
return 301 http://example.com/comingsoon;
}
Аналогичным образом вы можете отдавать любой HTTP ответ, вместо стандартного «ERROR 403«:
location /testdir {
deny 111.222.333.444;
return 444;
}
Ошибка 444 (No Response) — это пользовательский код состояния, используемый для указания nginx на закрытие соединения без отправки ответа клиенту, чаще всего используется для отклонения вредоносных или искаженных запросов.
Действие с IP по условию
В зависимости от определенного IP-адреса NGINX может выполнять различные действия, а не только запрет доступа. Например, перенаправление.
В данном примере мы перенаправляем всех посетителей по пути https://$host$request_uri, кроме запросов с IP-адреса 111.222.333.444.
location / {
...
if ($remote_addr != 111.222.333.444) {
return 301 https://$host$request_uri;
}
...
}
2. Как при помощи nginx заблокировать доступ с нескольких ip адресов к некоторой секции сайта?
Аналогичным образом вы можете отправить шуточный код ошибки «HTTP 418» I’m a teapot (Я — чайник). Этот код был представлен в 1998 году как одна из традиционных первоапрельских шуток IETF в RFC 2324, Hyper Text Coffee Pot Control Protocol. Ожидается, что этот код не будет поддерживаться реальными серверами. Как бы то ни было, реализации существуют. Сервер HTTP Nginx в своей конфигурации использует этот код для имитации поведения goto-like.
deny 111.222.333.444;
deny 111.222.333.555;
deny 111.222.333.666;
deny 111.222.333.777;
1 апреля 1998 года Internet Engineering Task Force (IETF, «Целевая группа по инженерному обеспечению Интернета) представила «протокол для контроля, мониторинга и диагностики кофемашин». В документе среди прочего описывались и ошибки. Проблема за номером 418 описывалась так: если кто-то попытается сварить кофе в чайнике, последний вежливо, но твердо сообщит: «Я – чайник. Ошибка 418».
Шутка прижилась (по крайней мере, в узких кругах). Например, у Google даже сегодня есть соответствующая страница google.com/teapot
3. Как при помощи nginx заблокировать доступ с диапазона или нескольких диапазонов ip адресов к некоторой секции сайта?
В данной ситуации локейшн не представляет ничего особенного и составляется по следующему принципу.
Для запрета доступа с одного диапазона (111.222.111.1-111.222.111.254) ip:
location /testdir {
deny 111.222.111.0/24;
}
Для запрета доступа с нескольких диапазонов ip адресов:
location /testdir {
deny 111.222.111.0/24;
deny 111.222.222.0/24;
}
4. Как при помощи nginx заблокировать доступ из списка ip адресов и списка диапазонов ip? расположенных в отдельном файле к некоторой секции сайта?
Вот мы и подошли к более интересному случаю, когда мы можем заблокировать на одном сайте, в нескольких сайтах или же на большом количестве сайтов множество ip адресов и диапазонов сетей, которые у нас расположены в некотором файле «testdir_ip_deny.txt«, расположенном в папке «/etc/nginx/«
location /testdir {
include /etc/nginx/testdir_ip_deny.txt
}
Содержимое файла «testdir_ip_deny.txt» может выглядеть следующим образом:
deny 111.555.111.0/24;
deny 111.222.333.444;
deny 111.222.333.555;
deny 111.222.333.666;
deny 111.222.333.777;
deny 111.666.222.0/24;
deny 111.333.333.888;
deny 111.444.333.999;
deny 111.222.321.666;
deny 111.222.456.777;
В таком виде nginx может обработать десятки тысяч ip адресов и диапазонов ip сетей.
Аналогичным образом вы можете заблокировать доступ ко всем сайтам и всем локейшинам nginx, не прописывая правила блокировки во всех конфигах сайтов.
Для этого достаточно создать файл ip_deny_to_all.conf в директории конфигурационных файлов (/etc/nginx/conf.d) nginx:
nano /etc/nginx/conf.d/ip_deny_to_all.conf
B вставить в него произвольный список запретов:
...
deny 111.666.222.0/24;
deny 111.333.333.888;
...
include добавлять никуда не нужно, т.к. все конфигурационные файлы (*.conf) из данной директории автоматически подключаются в основной конфиг в секцию HTTP, проверить это вы можете открыв соответствующий файл:
nano /etc/nginx/nginx.conf
И найдя следующий код:
http {
...
include /etc/nginx/conf.d/*.conf;
include /etc/nginx/sites-enabled/*;
}
Таким образом вы сможете заблокировать или разрешить доступ ко всем сайтам, учитывая содержимое файла /etc/nginx/conf.d/ip_deny_to_all.conf
Таким образом вы можете составить несколько списков, в том числе и списки по странам (вместо использования NGINX GeoIP Module), взяв их, например, на одном из следующих сайтов:
https://www.countryipblocks.net/acl.php (может быть недоступен с ip адресов РФ и РБ)
http://ipverse.net/ipblocks/data/countries/xx.zone (пример: xx – ru)
Диапазоны IP-адресов по странам
Major IP Addresses Blocks By Country
На деле это редко когда может быть актуальным, т.к. тратит ресурсы сервера: канал и процессорное время и правильнее использовать блокировку при помощи ipset или iptables!
