Nginx反向代理中基於白名單的存取控製配置

Nginx是一個高效能的HTTP伺服器和反向代理伺服器，具有穩定性和可擴充性等優點。為了保護網路伺服器免受來自惡意使用者和惡意程式的攻擊，許多企業和組織實施了存取控制措施。本文將介紹如何在Nginx中透過白名單控制反向代理的存取。

一、什麼是反向代理？

反向代理，指的是一種Web伺服器的設定方式，它將Web伺服器隱藏在一組代理伺服器後面。反向代理伺服器的位址對客戶端來說是可見的，反向代理伺服器負責將客戶端的請求轉送到真正的Web伺服器上，並將Web伺服器的回應傳回給客戶端。反向代理可以提高Web伺服器的吞吐量並防止攻擊。

二、為什麼需要存取控制？

Web伺服器通常會面臨來自全球各地的訪問，其中有一部分請求可能來自惡意使用者或惡意程式。這些惡意請求可能會導致Web伺服器的癱瘓、資料外洩、敏感資訊的篡改和竊取等安全性問題。為了防止這些問題，通常需要實現存取控制機制，限制只有特定的IP位址、網域名稱或使用者能夠存取Web伺服器。

三、Nginx如何實現基於白名單的存取控制？

1. 定義允許存取的IP位址

在nginx.conf設定檔中，可以使用allow指令來指定允許存取的IP位址，例如：

http {
    #定义白名单
    geo $whitelist {
        default 0;
        10.0.0.0/8 1;
        192.168.0.0/16 1;
    }

    server {
        listen 80;
        server_name example.com;
        location / {
            #指定允许访问的IP地址
            allow $whitelist;
            #禁止其他IP地址的访问
            deny all;
            #...
        }
    }
}

在上述設定檔中，使用geo指令定義白名單。其中，$whitelist是一個變量，表示允許存取的IP位址。預設情況下，$whitelist的值為0，表示不允許存取。如果存取的IP位址在10.0.0.0/8或192.168.0.0/16網段內，則$whitelist的值為1，允許存取。在location中，使用allow指令指定允許存取$whitelist變數中的IP位址，使用deny指令禁止其他IP位址的存取。

2. 定義允許存取的域名

在nginx.conf設定檔中，可以使用server_name指令來指定允許存取的域名，例如：

http {
    #定义白名单
    server {
        listen       80;
        server_name  example.com;

        #允许访问的域名
        if ($host !~* ^(example.com)$ ) {
            return 403;
        }
        
        location / {
            #...
        }
    }
}

上述設定檔中，使用server_name指令指定只允許example.com網域的存取。在location中，如果請求的網域名稱不是example.com，則直接傳回403錯誤。

3. 定義允許存取的使用者

在nginx設定檔中，可以使用HTTP Basic Authentication或其他認證機制限制只有經過認證的使用者可以存取Web伺服器。例如，使用HTTP Basic Authentication可以把使用者名稱和密碼加密後放在HTTP頭中，Nginx對請求進行認證，只有經過認證的使用者才能存取Nginx伺服器。在nginx.conf設定檔中，可以使用auth_basic和auth_basic_user_file指令實作HTTP Basic Authentication，例如：

http {
    #定义白名单
    server {
        listen       80;
        server_name  example.com;

        #Nginx对请求进行认证
        auth_basic           "Restricted Area";
        auth_basic_user_file conf.d/.htpasswd;
        
        location / {
            #...
        }
    }
}

上述設定檔中，在server中指定auth_basic指令，描述需要認證的區域資訊。使用auth_basic_user_file指令指定密碼檔案的路徑。只有經過認證的使用者才能存取Web伺服器。

四、總結

反向代理可以提高網路伺服器的吞吐量並防止攻擊，存取控制機制可以保護網路伺服器免受來自惡意使用者和惡意程式的攻擊。在Nginx中，使用基於白名單的存取控制可以控制反向代理的訪問，保護網路伺服器的安全。根據需要，可以定義允許存取的IP位址、網域名稱或用戶，以提高反向代理的安全性。

以上是Nginx反向代理中基於白名單的存取控製配置的詳細內容。更多資訊請關注PHP中文網其他相關文章！