Nginx 访问控制（原理+实验）

于 2024-01-24 10:52:28 发布
阅读量1.2k 收藏 24
点赞数 25
分类专栏： Nginx 文章标签： nginx 网络 运维 服务器 linux centos
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_62396418/article/details/135816196
版权

Nginx 访问控制


什么是访问控制？

访问控制是一种安全机制，旨在限制系统或网络资源的访问权限，确保只有经过授权的用户或系统可以访问这些资源。对访问控制的理解可能包括以下几个关键方面：

  1. 身份验证（Authentication）： 访问控制的第一步是确认用户或系统的身份。这通常涉及到使用用户名、密码、密钥或其他身份验证手段来验证用户的身份。合法的身份验证是访问控制的基础。
  2. 授权（Authorization）： 一旦用户身份得到验证，接下来的步骤是确定用户被授予的权限范围。这包括确定用户可以访问的资源、可以执行的操作以及其他相关权限。授权确保用户只能访问其被明确允许的资源和功能。
  3. 访问级别（Access Levels）： 访问控制通常涉及定义不同的访问级别，如读取、写入、执行等。每个用户或系统被授予的访问级别取决于其角色和权限配置。精细的访问级别有助于确保安全性和数据完整性。
  4. 访问策略（Access Policies）： 访问策略是一组规则和规范，用于定义系统中的访问控制规则。这可能包括规定谁可以访问什么资源、在什么条件下可以访问等。访问策略是实施访问控制的具体指南。
  5. 审计和监控（Auditing and Monitoring）： 访问控制不仅仅是在用户尝试访问资源时的阻止和允许，还包括对访问活动的审计和监控。记录和分析访问日志有助于检测潜在的安全威胁或违规行为。
  6. 单点登录（Single Sign-On，SSO）： SSO是一种访问控制方法，允许用户通过一次身份验证获得对多个系统的访问权限，而不需要在每个系统中单独登录。这提高了用户体验并简化了访问管理。

1. Nginx 访问控制模块

Nginx 是一款高性能的 Web 服务器，支持多种操作系统。通过 HTTP 模块、TCP 模块、UDP 模块等多种模块的支持，Nginx 提供了很多灵活的访问控制配置选项。
Nginx提供了2种最常用的访问控制方法
（1）基于IP的访问控制：http_access_module
可以使用 Nginx 的 allow 和 deny 指令，来控制对来自特定 IP 地址的客户端的访问权限。

例：
location /admin {
    allow 192.168.1.100;
    deny all;
}

（2）基于用户的信任登录：http_auth_basic_module
可以使用 Nginx 的 auth_basic 和 auth_basic_user_file 指令，来启用基于 HTTP 认证的访问控制。

例：
location /admin {
    auth_basic "Restricted Area";
    auth_basic_user_file /path/to/password/file;
}

2. 基于 IP 的访问控制

2.1. 配置语法

#allow允许IP
Syntax：allow address | all;
default：默认无
Context：http，server，location
​
#deny拒绝IP
Syntax：deny address | all;
default：默认无
Context：http，server，location
=======================================================================
allow    允许    ip或者网段
deny    拒绝     ip或者网段

2.2. allow 允许配置实验

编辑/etc/nginx/conf.d/access_mod.conf内容如下：

[root@localhost ~]# hostname -I
192.168.221.138 
​
[root@localhost ~]# vim /etc/nginx/conf.d/allow.conf
server {
        listen 80;
        server_name localhost;  #注意域名不要有冲突
        location  / {
                root /usr/share/nginx/html;
                index index.html index.hml;
                deny 192.168.221.136;    #不允许136访问
                allow all;
                }
}
​
[root@localhost conf.d]# nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
[root@localhost conf.d]# systemctl restart nginx
​
//136访问测试：
[root@localhost ~]# hostname -I
192.168.221.136 
[root@localhost ~]# curl  -I http://192.168.221.138
HTTP/1.1 403 Forbidden  //403访问被拒绝
Server: nginx/1.24.0
Date: Sun, 30 Jul 2023 23:24:08 GMT
Content-Type: text/html
Content-Length: 153
Connection: keep-alive
​
//130访问测试：
[root@localhost ~]# hostname -I
192.168.221.130 
[root@localhost ~]# curl  -I http://192.168.221.138
HTTP/1.1 200 OK         //200访问ok
Server: nginx/1.24.0
Date: Sun, 30 Jul 2023 23:24:28 GMT
Content-Type: text/html
Content-Length: 615
Last-Modified: Tue, 11 Apr 2023 17:22:34 GMT
Connection: keep-alive
ETag: "6435975a-267"
Accept-Ranges: bytes

​需要注意:
1.按顺序匹配，已经被匹配的ip或者网段，后面不再被匹配。
2.如果先允许所有ip访问，在定义拒绝访问。那么拒绝访问不生效。
3.默认为allow all

  • 被拒绝的IP为192.168.221.136，配置拒绝的虚拟机IP为192.168.221.138，这里禁止136访问，允许其他所有IP访问。
  • 主机136访问http://192.168.221.138，显示403 Forbidden。
  • 当然也可以反向配置，同时也可以使用IP网段的配置方式，如allow 192.168.17.0/24; deny all;，表示满足此网段的IP都可以访问。

2.3. deny 拒绝配置实验

如果你想拒绝某个指定URL地址的所有请求，只需要在location块中配置deny all指令：

[root@localhost conf.d]# hostname -I
192.168.221.138 

[root@localhost conf.d]# vim /etc/nginx/conf.d/deny.conf
server {
        listen 80;
        server_name localhost;
        location  / {
                root /usr/share/nginx/html;
                index index.html index.hml;
                allow 192.168.221.136;    #只允许136可以访问
                deny all;    #拒绝所有
                }
}

[root@localhost conf.d]# nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
[root@localhost conf.d]# systemctl restart nginx

//136访问测试
[root@localhost ~]# hostname -I
192.168.221.136 
[root@localhost ~]# curl  -I http://192.168.221.138
HTTP/1.1 200 OK
Server: nginx/1.24.0
Date: Sun, 30 Jul 2023 23:38:18 GMT
Content-Type: text/html
Content-Length: 615
Last-Modified: Tue, 11 Apr 2023 17:22:34 GMT
Connection: keep-alive
ETag: "6435975a-267"
Accept-Ranges: bytes

//130访问测试
[root@localhost ~]# hostname -I
192.168.221.130 
[root@localhost ~]# curl  -I http://192.168.221.138
HTTP/1.1 403 Forbidden
Server: nginx/1.24.0
Date: Mon, 31 Jul 2023 00:51:10 GMT
Content-Type: text/html
Content-Length: 153
Connection: keep-alive

//windows宿主机curl测试
C:\Users\TZH>curl -I http://192.168.221.138
HTTP/1.1 403 Forbidden
Server: nginx/1.24.0
Date: Mon, 31 Jul 2023 00:51:49 GMT
Content-Type: text/html
Content-Length: 153
Connection: keep-alive

3. 基于用户的信任登录

基于用户的信任登录模块：http_auth_basic_module
有时候我们会有这么一种需求，就是你的网站的某些页面不希望对所有人公开访问，我们希望的是某些特定的客户端可以访问。
那么我们可以在访问时要求进行身份认证，就如给你自己的家门加一把锁，以拒绝那些不速之客。

3.1. 配置语法

Syntax：auth_basic string | off;
default：auth_basic off;
Context：http，server，location
auth_basic string; 设置基本验证的描述信息

Syntax：auth_basic_user_file file;
default：默认无
Context：http，server，location
file：设置存储用户名密码信息的文件。
密码文件格式 username:password

例：

server {
  location /private {
    auth_basic "Private area";
    auth_basic_user_file /etc/nginx/passwords;
  }
}

这就要求用户访问 /private 路径时输入密码才能访问。
用户密码文件也可以放在其他位置，只要 auth_basic_user_file 指令指向正确的文件即可。

3.2. 配置示例

[root@localhost conf.d]# hostname -I
192.168.221.138 

[root@localhost ~]# vim /etc/nginx/conf.d/auth_mod.conf 
server {
    listen 80;
    server_name localhost;
    location ~ /admin {
        root /var/www/html;
        index index.html index.hml;
        auth_basic "Auth access test!";
        auth_basic_user_file /etc/nginx/auth_conf;
        }
}

[root@localhost conf.d]# mkdir /var/www/html/admin    //创建目录
[root@localhost conf.d]# echo "auth..."  > /var/www/html/index.html/admin    //创建文件

[root@localhost conf.d]# nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
[root@localhost conf.d]# systemctl restart nginx

//做好本地windows的host文件解析
192.168.221.138 www.Jltauth.com

auth_basic不为 off 时，开启登录验证功能，auth_basic_user_file 加载账号密码文件。
浏览器访问测试

3.3. 创建登录的口令文件

[root@localhost ~]# yum install -y httpd-tools 
//htpasswd 是开源 http 服务器 apache httpd 的一个命令工具，用于生成 http 基本认证的密码文件

[root@localhost conf.d]# htpasswd -cm /etc/nginx/auth_conf jack
New password: 
Re-type new password: 
Adding password for user jack
//jack：用户
//-c: 创建一个新的密码文件，如果密码文件已存在，则会直接覆盖。
//-m: 在已有的密码文件中添加用户，不会覆盖已有用户。
//该命令中，会创建密码文件 auth_conf，并写入用户 jack 的密码记录

[root@localhost conf.d]# htpasswd -m /etc/nginx/auth_conf tom
New password: 
Re-type new password: 
Adding password for user tom
//该命令中，会在已有的密码文件 auth_conf 中追加用户 tom 的密码记录

[root@localhost nginx]# cat /etc/nginx/auth_conf
jack:$apr1$YmpHMEkH$OtjswnIL5F.E7HUGKBi6U/
tom:$apr1$S8Q.Csg.$JQ6hQSExltiB9x/vlQURb0

浏览器访问测试

TA548464
关注
  • 25
    点赞
  • 踩
  • 24
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
nginx访问控制
m0_56681539的博客
10-19 1579
stub_status模块主要作用于查看nginx的一些状态信息。Allow：设定允许哪台或哪些主机访问，多个参数间用空格隔开。Deny：设定禁止那台或哪些主机访问，多个参数间用空格隔开。//user_auth_file内容格式。auth_basic “欢迎信息”;安装httpd-tools软件包。//用于location段。去虚拟机里的浏览器访问。
Nginx访问控制
weixin_72435491的博客
10-13 1285
Nginx访问控制
Nginx实现访问控制
RAB
09-27 1999
Nginx实现访问控制。
添加Nginx代理配置只允许内部IP访问的实现方法
09-29
在本篇文章里小编给大家整理的是一篇关于添加Nginx代理配置只允许内部IP访问的实现方法的文章，有需要的朋友们可以学习下。
基于Nginx实现访问控制，连接限制，动静分离
长沙老码农
03-16 1633
目录 1、访问控制 1.1 访问控制概念 1.2 ngx_http_access_module模块 1.3 ngx_http_auth_basic_module模块 2、连接限制 2.1 为什么要对Nginx做连接限制？ 2.2 ngx_http_limit_conn_module 模块 2.3 ngx_http_limit_req_module模块 2.4 连接限制白名单 3、动静分离 1、访问控制 1.1 访问控制概念 访问控制要做的事情是控制客户端的资源访问权限 主要.
nginx中deny和allow详解
sinat_24354307的博客
08-21 9199
nginx中deny和allow详解
Nginx动静分离（理论+实验）
01-07
一、Nginx+Apache动静分离原理1.1 Nginx动静分离概述1.3 Nginx实现动静分离配置1.3.1 动静分离需求1.3.2 配置重点二、Nginx+Apache动静分离（实验）2.1 搭建LAMP架构2.1.1 Apache服务安装与配置2.1.2 mariadb数据库...
LVS-DR+Nginx+Apache集群搭建
03-10
实验拓扑图未提供，但在实际部署中，每台服务器都需要确保时间同步，以避免因时间差异导致的问题。可以使用`ntpdate`命令与公共NTP服务器同步时间。 **调度器配置** 调度器（如node1）上需要添加额外的网卡作为外...
虚拟机布置Nginx+PHP+MariaDB+nextcloud
03-20
完成上述步骤后，可以通过浏览器访问Nextcloud的URL，根据提示完成初始设置，包括连接数据库、选择存储路径等。如果遇到任何问题，可以通过查看Nginx、PHP-FPM、MariaDB的日志文件来进行排查。 #### 六、总结 通过...
nginx的七个实验
10-10
**Nginx七大实验详解** 在IT行业中，Nginx是一个广泛应用的高性能Web服务器和反向代理服务器，因其高效...每一个实验都是一个动手实践的机会，旨在加深对Nginx工作原理的理解，并提升其在Web服务架构中的应用技巧。
与DNS配置有关的nginx服务器配置
01-23
实验的目标是设置一个完整的网络环境，其中包括DNS服务器、Nginx服务器以及Tomcat服务器。在这个过程中，你需要掌握以下几个关键知识点： 1. **DNS服务器配置**： - **安装Bind9**：作为DNS服务器，Bind9用于处理...
Nginx 服务--服务基础、访问控制
weixin_67474417的博客
05-23 508
前言：这章和拐友们一起了解一下Nginx网站服务的基本构建 1.Nginx简介 1.它是一款高性能，轻量级Web服务软件 稳定性高 系统资源消耗低 对HTTP并发连接的处理能力高 ps：NG并发连接能收2个因素的影响 1.cpu个数 2.本地物理服务系统的最大文件数 2.编译安装Nginx服务 2.1关闭防火墙并将安装nginx所需软件包传到/opt目录下 systemctl stop firewalld systemctl disable firewalld sete...
Nginx 之访问控制详解
兮动人
12-06 828
1. 访问控制 访问控制是网络安全防范和保护的主要策略，其任务是保证网络资源不被非法访问 。 Nginx 作为 Web 服务器的后起之秀，也提供了访问控制的功能。它可以根据实际需求，对用户可以访问和禁止的目录进行限制。下面将对 Nginx 提供的权限控制指令以及典型的 应用进行详细讲解 。 1.1 权限控制指令 Nginx 中提供了两个用于配置访问权限控制的指令，分别为 allow 和 deny。 从其名称就可以看出， allow 用于设置允许访问的权限、 deny 用于设置禁止访问的权限 。 在使用
nginx访问控制 —— deny_allow
最新发布
qq_34953582的博客
09-06 1859
nginx访问控制 —— deny_allow
Nginx的 allow / deny 理解
liaosiqian的博客
02-05 5660
1、DEMO location / { deny 192.168.1.1; allow 192.168.1.0/24; allow 10.1.1.0/16; allow 2001:0db8::/32; deny all; } allow 192.168.1.0/24; 代表允许 192...* 的任何地址访问 allow 10.1.1.0/16; 代表允许 10.1.. 的任何地址访问 10.1.1.0/16 为 CIDR的表示语法。 2、官网介绍 all
【运维知识进阶篇】集群架构-Nginx常用模块（目录索引+状态监控+访问控制+访问限制）
吾日三省吾身，想出类拔萃，要把知识学牢，学全，学深，学广。
05-12 1303
这篇文章给大家介绍Nginx常用模块，包括Nginx目录索引，Nginx状态监控，Nginx访问控制，Nginx访问限制。熟悉使用模块，才能给Nginx增加色彩。
nginx 访问控制
07-27
Nginx可以通过访问控制列表（ACL）来限制对特定资源的访问。ACL可以基于IP地址、用户代理、请求方法等条件进行配置。以下是一些常用的Nginx访问控制配置示例： 1. 基于IP地址的访问控制： ```nginx location / { ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

TA548464

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值