近期因为信息安全方面的要求,安全部门提出我们的对公服务,要屏蔽来自 IP 地址的访问。我们接到这个需求,分析出要在反向代理服务器上设置禁止通过 IP 地址来访问服务,只允许通过域名的访问。
因为我们的对公服务域名有多个,而且域名,因为当初建设过程中,没考虑冗余,都配置成同城同机房一组外网服务器进行转发,所以这些域名都对应同一个公网 IP 。
提前补充一点网络的小知识,通过IP访问 与 通过 域名访问的区别就在于 HTTP 请求头信息中的 Host 值。我们在反向代理软件中,只要校验 Host 属性与我们自身域名不相同,则直接给我们的错误代码。
我们域名比较多,但是 Nginx 的 Lua 语法不支持多重判断。所这里这里可以使用多个条件语句。
此处没法绕过,只能挨个 server 配置,如果有更好的办法,欢迎请在留言处指明。
此次演示是基于 1.21.6 的版本来操作。
-
- -rwxrwxr-x 1 kejie kejie 6133152 Jun 10 20:28 nginx
- [kejie@portal-apptest8 sbin]$ ./nginx -v
- nginx version: nginx/1.21.6
-
-
由于 Nginx 语法特殊性,写法也有不同,下来主要就两种方式来说明实现方案。
Nginx 通过 $host 来获取 HTTP 中的 Host 属性,对 $host 内容进行判定即可。
-
- http {
- include mime.types;
- default_type application/octet-stream;
- sendfile on;
- keepalive_timeout 65;
-
- server {
- listen 80;
- server_name _;
-
- set $flag 0;
- if ($host ~* ^cia* ) {
- set $flag "1${flag}";
- }
- if ($host ~* ^mo* ) {
- set $flag "1${flag}";
- }
- if ($flag !~* ^1* ) {
- return 403;
- }
- }
- }
-
-
这种方式,就是堆叠 if 语句,客观性和拓展性不够好。适用于临时应急方案。
既然传统方式不够友好,那需要考虑其他实现方案。通过观察,我们域名都有一定的特点,如后缀都是 cia.com.cn 。所以这里考虑使用正则表达式。
只要是 server_name 中的域名都是以 cia.com.cn 结尾的都是放行,最终配置如下:
-
- http {
- include mime.types;
- default_type application/octet-stream;
- sendfile on;
- keepalive_timeout 65;
-
- server {
- listen 80;
- server_name ~^(.+).cia.com.cn$;;
- }
- }
-
-