nginx配置访问控制、rewrite应用、nginx代理-阿里云开发者社区

开发者社区> 开发与运维> 正文
登录阅读全文

nginx配置访问控制、rewrite应用、nginx代理

简介:

一、访问控制

限制只让某个ip访问:

    allow 192.168.1.100;

    deny all;

限制只有本地地址可以访问,白名单;

    allow 127.0.0.1;

    deny all;

拒绝本地访问,黑名单:

    deny 127.0.0.1;

    allow all;


deny all 直接拒绝所有,下面的allow就不生效了。

1
2
3
4
5
6
7
8
9
10
[root@localhost vhosts]# vi default.conf
server
{
    listen 80 default_server;
    server_name localhost;
    index index.html index.htm index.php;
    root /usr/local/nginx/html;
    deny all;
    allow 2.2.2.2;
}

1
2
3
4
5
6
7
[root@localhost vhosts]# curl -x127.0.0.1:80  192.168.20.30/index.html -I
HTTP/1.1 403 Forbidden
Server: nginx/1.6.2
Date: Fri, 15 May 2015 08:46:05 GMT
Content-Type: text/html
Content-Length: 168
Connection: keep-alive


禁止某个IP或者IP段访问站点的设置方法:

1、首先建立下面的配置文件放在nginx的conf目录下面,命名为deny.ip  

1
2
3
4
# cat /usr/local/nginx/conf/deny.ip
deny 192.168.20.10;
deny 192.168.20.11;
deny 192.168.10.0/24;

2、在nginx的配置文件nginx.conf中加入:include deny.ip;

3、重启一下nginx的服务:/usr/local/nginx/sbin/nginx -s reload 就可以生效了。

deny.ip 的格式中也可以用deny all; 如果你想实现这样的应用,除了几个IP外,其他全部拒绝,

allow 1.1.1.1;

allow 1.1.1.2;

deny all;


针对目录限制php解析:

location ~ .*(diy|template|attachments|forumdata|attachment|image/.*\.php$ {

        deny all;

}


根据 user_agent 控制客户端访问

        location / {

        if ($http_user_agent ~ 'bingbot/2.0|MJ12bot/v1.4.2|Spider/3.0|YoudaoBot|Tomato|Gecko/20100315'){

                return 403;

                }

        }


实验:限定IE7.0 和 curl 不能访问;IE8.0可以正常打开;

    location / {

        if ($http_user_agent ~ 'MSIE 7.0|curl'){

                return 403;

                }

        }

curl -A 代表浏览器标识agent;模拟浏览器标识;测试包含bingbot/2.0,MSIE 7.0,curl的返回值为403;

1
2
3
4
5
6
7
[root@localhost vhosts]# curl -x127.0.0.1:80 -A "aabingbot/2.0ss" www.111.com -I
HTTP/1.1 403 Forbidden
Server: nginx/1.6.2
Date: Fri, 15 May 2015 21:09:35 GMT
Content-Type: text/html
Content-Length: 168
Connection: keep-alive
1
2
3
4
5
6
7
[root@localhost vhosts]# curl -x127.0.0.1:80 -A "MSIE 7.0aa"  www.111.com -I
HTTP/1.1 403 Forbidden
Server: nginx/1.6.2
Date: Fri, 15 May 2015 21:13:50 GMT
Content-Type: text/html
Content-Length: 570
Connection: keep-alive
1
2
3
4
5
6
7
[root@localhost vhosts]# curl -x127.0.0.1:80  192.168.20.30/index.html -I
HTTP/1.1 403 Forbidden
Server: nginx/1.6.2
Date: Fri, 15 May 2015 09:15:27 GMT
Content-Type: text/html
Content-Length: 168
Connection: keep-alive


二、nginx的rewrite应用

现在有这样的的需求,访问 www.abc.com  请求到 www.abc.com/abc/

在nginx虚拟主机配置文件中加入 :

   if ($document_uri !~ 'abc') 

    {

       rewrite ^/(.*)$ http://www.abc.com/abc/$1 permanent;

    }

而不是单独加一句rewrite ^/(.*)$ http://www.abc.com/abc/$1 permanent;

如果只加rewrite 规则,而不限定条件,那么会造成死循环。  

会访问到http://www.abc.com/abc/abc/abc/abc/....


实验测试,只加一行rewrite规则,redirect 302 临时重定向;

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
[root@localhost vhosts]# cat 111.conf 
server
{
    listen 80;
    server_name www.aaa.com aaa.com;
    index index.html index.htm index.php;
    root /data/www2;
  
    rewrite ^/(.*)$ /aaa/$1 redirect;
    
    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_pass unix:/tmp/php-fcgi-www2.sock;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME /data/www2$fastcgi_script_name;
    }
}


使用curl测试跳转到http://www.aaa.com/aaa/asdfasdfa

1
2
3
4
5
6
7
8
9
[root@localhost vhosts]# curl -x127.0.0.1:80  www.aaa.com/asdfasdfa -I
HTTP/1.1 302 Moved Temporarily
Server: nginx/1.6.2
Date: Fri, 15 May 2015 09:54:10 GMT
Content-Type: text/html
Content-Length: 160
Location: 
http://www.aaa.com/aaa/asdfasdfa
Connection: keep-alive

 浏览器输入http://www.aaa.com/asdfasdfa 出现死循环网址;

wKioL1VbCd-yBH_MAABlkBkfKdo220.jpg

spacer.gif

加入if判断,域名不匹配aaa的时候跳转到aaa地址下;浏览器访问跳转正确,出现404错误是我们做实验没有这个目录;
    if ($document_uri !~ 'aaa')

     {

     rewrite ^/(.*)$ /aaa/$1 redirect;

     }
spacer.gifwKiom1VbCLHyjTsoAACXJYBk58c903.jpg

三、nginx代理配置

/conf/vhosts/目录下,新建一个proxy.conf 写入下面的内容:

1
2
3
4
5
6
7
8
9
10
11
[root@localhost vhosts]# cat proxy.conf
server {
            listen 80;
            server_name  
            location / {
                proxy_pass      http://180.97.33.108/;
                proxy_set_header Host   $host;
                proxy_set_header X-Real-IP      $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            }
        }

代理baidu.com,proxy_pass填写baidu的ip地址;

#curl -x192.168.20.30:80  www.baidu.com  使用本地解析baidu.com 就可以访问百度的主页; 


dig命令查看baidu的别名和对应的ip地址;

#dig www.baidu.com

;; ANSWER SECTION:
www.baidu.com. 1065 IN CNAME www.a.shifen.com.
www.a.shifen.com. 183 IN A 180.97.33.108
www.a.shifen.com. 183 IN A 180.97.33.107


如果代理的机器有多台,可以实现负载均衡。bbb为自定义的内容;

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
upstream bbb
{
            server  180.97.33.108:80;
            server  180.97.33.107:80;
}
server {
        listen 80;
        server_name  
        location / {
                proxy_pass      http://bbb/;
                proxy_set_header Host   $host;
                proxy_set_header X-Real-IP      $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }
}







本文转自 模范生 51CTO博客,原文链接:http://blog.51cto.com/mofansheng/1652905,如需转载请自行联系原作者

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
开发与运维
使用钉钉扫一扫加入圈子
+ 订阅

集结各类场景实战经验,助你开发运维畅行无忧

其他文章