Nginx封禁IP和IP段

@admin  July 14, 2020

前言

在没有专业WAF的情况下,我们如果想要封禁一些恶意访问的IP(段),可以使用ngx_http_access_module模块来实现。

官方对此模块的解释:

The ngx_http_access_module module allows limiting access to certain client addresses.

指令语法

Syntax:    allow address | CIDR | unix: | all;
Default:    —
Context:    http, server, location, limit_except
Syntax:    deny address | CIDR | unix: | all;
Default:    —
Context:    http, server, location, limit_except

配置

配置conf文件

location / {
    deny  192.168.1.1;
    deny  118.31.72.34;
    allow 192.168.1.0/24;
    allow 10.1.1.0/16;
    allow 2001:0db8::/32;
    deny  all;  # 如果最后不添加deny all,则可能会允许上面列出ip之外的其他ip均可访问,因为默认是allow all的。
}

每次都去修改conf文件着实不方便,也不太安全(手一抖玩意改错了,nginx就鸡鸡了。),我们可以把需要封禁的ip(段)单独拎出来写成一个conf文件,然后include到nginx.conf里面。

在适当的位置(我放到了/usr/local/nginx/conf/vhost下面)新建一个XXX.conf,比如blockip.conf,写入需要封禁的IP(段)并保存。

deny  192.168.1.1;
deny  118.31.72.34;
allow 192.168.1.0/24;
allow 10.1.1.0/16;
allow 2001:0db8::/32;

然后在nginx.conf中的http{}上下文中include blockips.conf;

配置保存之后,使用-t测试一下配置文件是否有误,没有问题的话就reload一下。

[root@hkcn2 conf]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@hkcn2 conf]# /usr/local/nginx/sbin/nginx -s reload

测试封禁效果

[root@iZeo6707793o09Z ~]# curl -I http://154.209.66.13/
HTTP/1.1 403 Forbidden
Server: openresty/1.15.8.3
Date: Tue, 14 Jul 2020 11:11:27 GMT
Content-Type: text/html
Content-Length: 159
Connection: keep-alive

如果封禁没有问题,则会返回403状态码。

自定义403页面

在/usr/local/nginx/html新建一个blockip403.html,适当的写一些文案。

<html>
<head><title>Error 403 - IP Address Blocked</title></head>
<body>
Your IP Address is blocked. If you this an error, please contact webmaster with your IP at webmaster@example.com
</body>
</html>

然后在配置文件中(server{}上下文中)使用上面自定义的403错误页面。

 error_page   403  /blockip403.html;
 location = /blockip403.html {
         root   html;
 }

保存并检查无误后,reload一下,再次访问就看到我们自定义的403错误页面了。

[root@iZeo6707793o09Z ~]# curl http://154.209.66.13/
<html>
<head><title>Error 403 - IP Address Blocked</title></head>
<body>
Your IP Address is blocked. If you this an error, please contact webmaster with your IP at webmaster@example.com
</body>
</html>

参考资料:


添加新评论