目录
示例 2：允许 GET 和 POST 方法，其他方法需要 IP 控制
auth_basic 和 auth_basic_user_file
1. 安装 Nginx 的 nginx-http-auth-jwt 模块
一、nginx 访问控制模块
（1）基于IP的访问控制：http_access_module （2）基于用户的信任登录：http_auth_basic_module
二、基于IP的访问控制
配置语法
基于 IP 的访问控制是 Web 服务器安全管理中的一项重要功能，可以用来允许或拒绝来自特定 IP 地址或 IP 地址范围的访问。在 Nginx 中，这种控制通常是通过 allow 和 deny 指令来实现的，这些指令可以在 Nginx 的配置文件中的 http、server 或 location 上下文中使用。
allow 指令
语法：
allow address | CIDR | unix: | all;
address可以是一个具体的 IP 地址，如192.168.1.101。CIDR表示地址段，如192.168.1.0/24。unix:表示允许所有通过 Unix 套接字的请求。all表示允许来自任何 IP 地址的请求。
默认值：默认情况下，Nginx 没有设置任何 allow 指令。
可配置区域：可以在 http、server、location、limit_except 中使用。
deny 指令
语法：
deny address | CIDR | unix: | all;
- 此语法与
allow指令类似，用于拒绝特定的 IP 地址或地址段等的访问。
默认值：默认情况下，Nginx 没有设置任何 deny 指令。
可配置区域：可以在 http、server、location、limit_except 中使用。
注意事项
-
指令顺序：Nginx 检查
allow和deny指令的顺序很重要。它会按顺序检查每个指令直到找到匹配项为止。建议的做法是先放置allow指令，然后再放置deny指令。 -
CIDR 表示法：可以使用 CIDR 表示法来指定一个 IP 地址段，例如
192.168.1.0/24，这表示允许或拒绝来自该子网的所有请求。 -
多个
allow和deny指令：你可以使用多个allow或deny指令来定义复杂的访问控制策略。 -
指令的生效范围：这些指令可以在 http、server 或 location 三种不同的配置块中使用，也可以和
limit_except指令配合使用，意味着可以根据需要在全局、特定虚拟主机或特定路径上施加访问控制。
示例：
在 http 块中进行配置
这种配置会影响所有服务器块中的请求。
http {
# 允许特定的 IP 地址访问
allow 192.168.1.101;
allow 192.168.1.201;
# 拒绝所有其他 IP 地址访问
deny all;
server {
listen 80;
server_name example.com;
location / {
# 其他配置指令
...
}
}
}
在 server 块中进行配置
这种配置会影响特定的服务器块中的请求。
server {
listen 80;
server_name example.com;
# 允许特定的 IP 地址访问
allow 192.168.1.101;
allow 192.168.1.201;
# 拒绝所有其他 IP 地址访问
deny all;
location / {
# 其他配置指令
...
}
}
在 location 块中进行配置
这种配置会影响特定 URL 路径的请求。
server {
listen 80;
server_name example.com;
location /admin {
# 允许特定 IP 地址访问
allow 192.168.1.101;
allow 192.168.1.201;
# 拒绝所有其他 IP 地址访问
deny all;
# 处理请求的其他指令
...
}
location / {
# 其他配置指令
...
}
}
limit_except 指令
语法
limit_except method ... {
# 允许和拒绝指令
}
配置上下文
location
示例配置
以下示例展示了如何在 limit_except 块中使用 allow 和 deny 指令，基于 IP 地址限制对特定 HTTP 方法的访问：
示例 1：仅允许 GET 方法，其他方法需要 IP 控制
server {
listen 80;
server_name example.com;
location /admin {
# 允许所有 IP 地址进行 GET 请求
limit_except GET {
# 允许特定 IP 地址进行非 GET 请求
allow 192.168.1.101;
allow 192.168.1.201;
# 拒绝所有其他 IP 地址进行非 GET 请求
deny all;
}
# 处理请求的其他指令
...
}
location / {
# 其他配置指令
...
}
}
在这个示例中，只有 IP 地址 192.168.1.101 和 192.168.1.201 可以进行非 GET 请求，所有其他 IP 地址只能进行 GET 请求。
示例 2：允许 GET 和 POST 方法，其他方法需要 IP 控制
server {
listen 80;
server_name example.com;
location /secure {
# 允许所有 IP 地址进行 GET 和 POST 请求
limit_except GET POST {
# 允许特定 IP 地址进行非 GET 和 POST 请求
allow 192.168.1.101;
allow 192.168.1.201;
# 拒绝所有其他 IP 地址进行非 GET 和 POST 请求
deny all;
}
# 处理请求的其他指令
...
}
location / {
# 其他配置指令
...
}
}
在这个示例中，只有 IP 地址 192.168.1.101 和 192.168.1.201 可以进行非 GET 和 POST 请求，所有其他 IP 地址只能进行 GET 和 POST 请求。
关键点
- limit_except 指令：用于限制除指定方法之外的所有方法。
- allow 和 deny 指令：在
limit_except块中使用，以基于 IP 地址控制对特定方法的访问。 - 配置上下文：
limit_except指令只能在location块中使用。
局限性
remote_addr只能记录上一层与服务器直接建立连接的IP地址，若中间有代理，则记录的是代理的IP地址。
http_x_forwarded_for可以记录每一层级的IP。
解决方法
（1）采用别的HTTP头信息控制访问，如HTTP_X_FORWARD_FOR（无法避免被改写）
（2）结合geo模块
（3）通过HTTP自定义变量传递
在 Nginx 中，通过 remote_addr 和 http_x_forwarded_for 来处理客户端 IP 地址时，需要注意这些细节。
remote_addr：记录与 Nginx 服务器直接建立连接的上一层的 IP 地址。如果客户端通过代理访问 Nginx，remote_addr会记录代理服务器的 IP 地址，而不是客户端的真实 IP 地址。http_x_forwarded_for：记录每一级代理服务器的 IP 地址，通常由代理服务器添加到请求头中，包含客户端的真实 IP 地址和经过的每一个代理的 IP 地址。
为了准确获取客户端的真实 IP 地址，可以使用 Nginx 的 real_ip 模块，该模块可以将 http_x_forwarded_for 头中的第一个 IP 地址（即客户端的真实 IP 地址）设置为 $remote_addr。
real_ip 模块的配置
语法
set_real_ip_from: 指定哪些 IP 地址（通常是代理服务器的 IP 地址）应该被信任。real_ip_header: 指定用于替换$remote_addr的头字段，通常是X-Forwarded-For。
示例配置
假设代理服务器的 IP 地址是 192.168.1.1 和 192.168.1.2，并且这些服务器会在请求头中添加 X-Forwarded-For 字段。
http {
# 允许 Nginx 处理这些代理服务器发来的请求
set_real_ip_from 192.168.1.1;
set_real_ip_from 192.168.1.2;
# 指定 X-Forwarded-For 头字段用于获取真实的客户端 IP
real_ip_header X-Forwarded-For;
server {
listen 80;
server_name example.com;
location / {
# 记录日志时使用 $remote_addr 和 $http_x_forwarded_for
access_log /var/log/nginx/access.log combined;
# 其他配置指令
...
}
}
}
combined 日志格式
默认情况下，combined 日志格式已经包含 $remote_addr 和 $http_x_forwarded_for，这在标准的 Nginx 配置文件中是这样的：
log_format combined '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
在使用上述配置后，$remote_addr 将包含客户端的真实 IP 地址，而不再是代理服务器的 IP 地址。
综合示例
如下配置示例，展示了如何使用 real_ip 模块来获取客户端的真实 IP 地址，并在访问日志中记录这些信息。
http {
# 允许 Nginx 处理这些代理服务器发来的请求
set_real_ip_from 192.168.1.1;
set_real_ip_from 192.168.1.2;
# 指定 X-Forwarded-For 头字段用于获取真实的客户端 IP
real_ip_header X-Forwarded-For;
# 定义日志格式
log_format combined '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
server {
listen 80;
server_name example.com;
location / {
# 记录访问日志
access_log /var/log/nginx/access.log combined;
# 其他配置指令
...
}
}
}
通过以上配置，可以确保 Nginx 记录的 $remote_addr 是客户端的真实 IP 地址，即使请求通过多个代理服务器。
三、基于用户的信任登录
auth_basic 和 auth_basic_user_file
auth_basic 和 auth_basic_user_file 是 Nginx 提供的两个指令，用于实现基本的 HTTP 认证。这一认证机制允许网站管理员设置一个简单的安全层，要求用户在访问特定资源之前输入用户名和密码。
1. auth_basic
auth_basic 指令用来开启或关闭基本的 HTTP 认证，并定义用于认证请求的提示信息（例如：“请输入用户名和密码”）。
语法：
auth_basic string | off;string指的是在登录提示框中显示的消息文字。当用户尝试访问受保护的内容时，这个字符串会显示在登录窗口上，通常是用来提示用户该区域需要认证。off用于关闭认证。
默认值：auth_basic off;
上下文：可以在 http、server、location、limit_except 中使用。
2. auth_basic_user_file
auth_basic_user_file 指令指定一个文件位置，该文件包含认证所需的用户名和密码。密码文件需要使用 htpasswd 工具（通常随 Apache HTTP 服务器或 Nginx 附带）来创建。
语法：
auth_basic_user_file file;file 是存储用户名和加密密码信息的文件路径。
默认值：默认不设置。
上下文：可以在 http、server、location、limit_except 中使用。
配置示例
下面的例子展示了如何为位于 /secure/ 路径的内容设置基本 HTTP 认证：
location /secure/ {
auth_basic "Restricted Content";
auth_basic_user_file /etc/nginx/conf.d/.htpasswd;
}在这个示例中，任何尝试访问 /secure/ 路径下内容的用户都将看到一个登录提示，提示信息为 “Restricted Content”。他们必须输入有效的用户名和密码，这些凭据会与 /etc/nginx/conf.d/.htpasswd 文件中存储的凭据进行比对。只有成功匹配的用户才能访问该路径下的内容。
创建密码文件
#htpasswd 是开源 http 服务器 apache httpd 的一个命令工具，用于生成 http 基本认证的密码文件
yum install -y httpd-tools 可以使用 htpasswd 命令来创建或更新密码文件。例如，要为用户 user1 添加或更新密码，可以使用以下命令：
htpasswd -c /etc/nginx/conf.d/.htpasswd user1请注意，-c 选项是用于创建新文件。如果文件已经存在，并且你只想添加新用户或更新现有用户的密码，不要使用 -c 选项。
在 http 块中进行配置
这将影响所有虚拟主机和所有位置
http {
auth_basic "Restricted Area";
auth_basic_user_file /etc/nginx/.htpasswd;
server {
listen 80;
server_name example.com;
location / {
# 其他配置指令
...
}
}
}
在 server 块中进行配置
这将影响特定的虚拟主机。
server {
listen 80;
server_name example.com;
auth_basic "Restricted Area";
auth_basic_user_file /etc/nginx/.htpasswd;
location / {
# 其他配置指令
...
}
}
在 location 块中进行配置
这将影响特定的 URL 路径。
server {
listen 80;
server_name example.com;
location /admin {
auth_basic "Restricted Area";
auth_basic_user_file /etc/nginx/.htpasswd;
# 其他配置指令
...
}
location / {
# 其他配置指令
...
}
}
在 limit_except 块中进行配置
这将影响除指定方法之外的所有方法。
server {
listen 80;
server_name example.com;
location /admin {
limit_except GET {
auth_basic "Restricted Area";
auth_basic_user_file /etc/nginx/.htpasswd;
}
# 其他配置指令
...
}
location / {
# 其他配置指令
...
}
}
关键点总结
- auth_basic：启用或禁用基本身份验证，接受一个字符串参数作为提示信息或者
off。 - auth_basic_user_file：指定包含用户名和密码的文件。
- 配置上下文：这两个指令可以在
http、server、location和limit_except块中使用。
通过以上配置示例，可以在不同的级别和上下文中灵活地启用基本身份验证，保护 Nginx 服务器上的资源。
局限性
（1）用户信息依赖文件方式
（2）操作管理机械，效率低下
解决方法
（1）Nginx结合LUA实现高效验证
（2）Nginx和LDAP打通，利用nginx-auth-ldap模块
（3）Nginx只做中间代理，具体认证交给应用。
JWT（JSON Web Token）认证
JWT 是一种更现代的认证方法，可以更灵活地控制用户的访问权限。这里假设你已经有一个生成和验证 JWT 的服务。
1. 安装 Nginx 的 nginx-http-auth-jwt 模块
首先需要一个支持 JWT 认证的 Nginx 模块。可以使用 nginx-http-auth-jwt 模块。
2. 配置 Nginx
在 Nginx 配置文件中使用 auth_jwt 和 auth_jwt_key_file 指令来启用 JWT 认证。
配置语法
auth_jwt "string";
auth_jwt_key_file file;
auth_jwt_alg HS256 | HS512 | RS256;
示例配置
http {
server {
listen 80;
server_name example.com;
location / {
# 启用 JWT 认证
auth_jwt "Restricted Area";
auth_jwt_key_file /etc/nginx/jwt_key.pub;
auth_jwt_alg RS256;
# 其他配置指令
...
}
}
}
在这个示例中，访问 example.com 时，Nginx 会检查请求头中的 JWT，并根据配置验证其有效性。
OAuth
OAuth 是一种开放标准的授权协议，允许第三方应用在不暴露用户凭据的情况下获取用户的授权。
1. 使用 OAuth 代理
通常，是使用一个 OAuth 代理（如 oauth2_proxy）与 Nginx 集成。
2. 配置 Nginx
在 Nginx 配置文件中使用反向代理指令将请求转发给 OAuth 代理。
示例配置
server {
listen 80;
server_name example.com;
location /oauth2/ {
proxy_pass http://127.0.0.1:4180;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Scheme $scheme;
proxy_connect_timeout 1;
proxy_send_timeout 30;
proxy_read_timeout 30;
}
location / {
auth_request /oauth2/auth;
error_page 401 = /oauth2/sign_in;
proxy_pass http://backend;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Scheme $scheme;
}
}
在这个示例中，/oauth2/ 路径处理 OAuth 代理请求，主路径 / 受 OAuth 认证保护。
785
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
