登录
当前位置： 首页 > 编程笔记 >

为Nginx服务器配置黑名单或白名单功能的防火墙

笪俊迈
2023-03-14
本文向大家介绍为Nginx服务器配置黑名单或白名单功能的防火墙，包括了为Nginx服务器配置黑名单或白名单功能的防火墙的使用技巧和注意事项，需要的朋友参考一下

功能描述：
处在黑名单中的ip与网络，将无法访问web服务。
处在白名单中的ip，访问web服务时，将不受nginx所有安全模块的限制。
支持动态黑名单（需要与ngx_http_limit_req 配合）
具体详见下面的说明
文件配置方法说明
一、定义黑名单或白名单方法：
1. 配置格式
配置关键字 黑名单或白名单文件 存储空间
white_black_list_conf conf/white.list zone=white:2m;
  | | | |
  | | | --------------------------------------存储空间大小 这里是2m. 空间大小决定黑白名单的容量
  | | ---------------------------------------------------------------------------------------------存储空间名
  | ---------------------------------------------------------------黑名单或白名单配置文件路径
  ------------------------------------------------配置命令
2. 配置关键字 white_black_list_conf。
3. 只能在http{} 中使用
4. white_black_list_conf可以配置多个 只需 zone=value 其中的value不同就可
5. 配置示例：

http{
    ......
    white_black_list_conf conf/white.list zone=white:4m;
    white_black_list_conf conf/black.list zone=black:4m;
    ......
    server{
    .......
    }
    .......
}

二、黑白名单作用范围
1. 配置格式
配置关键字 on/off
配置关键字有：white_list 与 black_list 分别用来表示白名单与黑名单
2. 能在http{}、server{}、location{}下使用, 功能默认是关闭
3. 配置示例：

http{
    ......
    white_black_list_conf conf/white.list zone=white1:4m;
    white_black_list_conf conf/black.list zone=black1:4m;
    white_list white1 on; #白名单 white1 在整个http{} 中都开启
    black_list black1 on; #黑名单 black1 在整个http{} 中都开启
    server{
        .......
    }
    .......
}
http{
    ......
    white_black_list_conf conf/white.list zone=white2:4m;
    white_black_list_conf conf/black.list zone=black2:4m;
    server{
        .......
        white_list white2 on; #白名单 white1 在整个server{} 中都开启
        black_list black2 on; #黑名单 black1 在整个server{} 中都开启
        .......
    }
    .......
}
http{
    ......
    white_black_list_conf conf/white.list zone=white3:4m;
    white_black_list_conf conf/black.list zone=black3:4m;
    white_black_list_conf conf/black.list zone=black2:4m;
    white_black_list_conf conf/white.list zone=white2:4m;
    server{
        .......
        location /do {
            ........
            white_list white3 on; #白名单 white3 在location /do{} 中开启
            black_list black3 on; #黑名单 black3 在location /do{} 中开启
            ........
        }
        location /do1{
            white_list white2 on; #白名单 white2 在整个server{} 中都开启
            black_list black2 on; #黑名单 black2 在整个server{} 中都开启
        }
        .......
    }
    .......
}

4.http配置接口说明：
（1）配置配置接口

http{
    .......
    server{
        ......
        location /sec_config{
            sec_config on;
        }
        ......
    }
    .......
}

（2）配置方法：
a. http://xxx/sec_config 查看黑白名单定义情况
返回结果如下

{
    "version":    "nginx/1.3.0",
    "code":    "0",
    "item":    {
        "conf_type":    "white_black_list_conf",
        "zone_name":    "white",
        "list_path":    "/home/john/nginx/conf/white.list"
    },
    "item":    {
        "conf_type":    "white_black_list_conf",
        "zone_name":    "black",
        "list_path":    "/home/john/nginx/conf/black.list"
    },
    "item":    {
        "conf_type":    "white_black_list_conf",
        "zone_name":    "ex",
        "list_path":    "/home/john/nginx/conf/status_ex"
    }
}

b. http://xxx/sec_config?zone_name=white 查看zone_name 为white 的 list_path中的具体内容
c.http://xxx/sec_config?zone_name=white&add_item=192.168.141.23 向 zone_name 为white 中增加192.168.141.23
d. http://xxx/sec_config?zone_name=white&delete_item=192.168.141.23 在 zone_name 为white 中删除192.168.141.23
查看配置方法2:
http://xxx/sec_config?for_each
三、黑白名单文件内容
conf/black.list 文件内容如下

2.2.2.2
192.168.141.1
3.3.3.3
4.4.4.5
2.3.4.4

四、动态黑名单
    要使用该功能必须对 ngx_http_limit_req_module.c 进行patch
    在ngx_http_limit_req_module.c中
    增加#include <white_black_list.h>
    并修改代码找到：

  "
  if (rc == NGX_BUSY) {
    ngx_log_error(lrcf->limit_log_level, r->connection->log, 0,
           "limiting requests, excess: %ui.%03ui by zone \"%V\"",
           excess / 1000, excess % 1000,
           &limit->shm_zone->shm.name);
    "

    在其下面增加：

  ngx_black_add_item_interface(r, 1);

        配备关键字：
                dyn_black
        格式：
                dyn_black $zone_name time;
        比如：
                dyn_black black 60; //禁止访问60秒，60秒后自动解除
        注意：
                必须要配置black_list
        配置示例：

        http{
            ....
            white_black_list_conf conf/black.list zone=black:4m;
            limit_req_zone $binary_remote_addr zone=one:8m rate=4r/s;
            ...
            server {
                location / {
         black_list black on;
         limit_req zone=one burst=6;
         dyn_black black 60; //禁止访问60秒，60秒后自动解除
         ...
         }
         location /xxx {
         sec_config on;
         }
         ...
            }
            ...
        }

PS：基于lua-nginx-module的ngx_lua_waf防火墙

项目地址：https://github.com/loveshell/ngx_lua_waf?utm_source=tuicool&utm_medium=referral
推荐安装:

推荐使用lujit2.1做lua支持

ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。

使用说明：

nginx安装路径假设为:/usr/local/nginx/conf/

把ngx_lua_waf下载到conf目录下,解压命名为waf

在nginx.conf的http段添加

  lua_package_path "/usr/local/nginx/conf/waf/?.lua";
  lua_shared_dict limit 10m;
  init_by_lua_file /usr/local/nginx/conf/waf/init.lua; 
  access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;

配置config.lua里的waf规则目录(一般在waf/conf/目录下)

  RulePath = "/usr/local/nginx/conf/waf/wafconf/"

绝对路径如有变动，需对应修改

然后重启nginx即可

配置文件详细说明：

  RulePath = "/usr/local/nginx/conf/waf/wafconf/"
  --规则存放目录
  attacklog = "off"
  --是否开启攻击信息记录，需要配置logdir
  logdir = "/usr/local/nginx/logs/hack/"
  --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限
  UrlDeny="on"
  --是否拦截url访问
  Redirect="on"
  --是否拦截后重定向
  CookieMatch = "on"
  --是否拦截cookie攻击
  postMatch = "on"
  --是否拦截post攻击
  whiteModule = "on"
  --是否开启URL白名单
  ipWhitelist={"127.0.0.1"}
  --ip白名单，多个ip用逗号分隔
  ipBlocklist={"1.0.0.1"}
  --ip黑名单，多个ip用逗号分隔
  CCDeny="on"
  --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;)
  CCrate = "100/60"
  --设置cc攻击频率，单位为秒.
  --默认1分钟同一个IP只能请求同一个地址100次
  html=[[Please go away~~]]
  --警告内容,可在中括号内自定义
  备注:不要乱动双引号，区分大小写

检查规则是否生效

部署完毕可以尝试如下命令：

  curl http://xxxx/test.php?id=../etc/passwd

    返回"Please go away~~"字样，说明规则生效。
注意:默认，本机在白名单不过滤，可自行调整config.lua配置

规则更新：

考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。

规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。

只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之

一些说明：

过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割

  •   global是全局过滤文件，里面的规则对post和get都过滤 
  •   get是只在get请求过滤的规则  
  •   post是只在post请求过滤的规则  
  •   whitelist是白名单，里面的url匹配到不做过滤   
  •   user-agent是对user-agent的过滤规则

默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可

日志文件名称格式如下:虚拟主机名_sec.log

 类似资料：
  • php实现ip白名单黑名单功能

    本文向大家介绍php实现ip白名单黑名单功能，包括了php实现ip白名单黑名单功能的使用技巧和注意事项，需要的朋友参考一下 这个是一个检测ip是否非法的php函数，适应于白名单，黑名单功能开发，主要场景应用于：api来源限制，访问限制等. 获取ip地址，这里引用thinkphp内置函数 以上就是本文的全部内容了，希望对大家理解php检测IP有所帮助。

  • IP 黑白名单 功能说明

    G01的“IP黑白名单”是针对IP是否被允许访问网站的功能。加入黑名单的IP则拒绝其对网站的访问，而加入白名单的IP则不受任何限制。注意：当黑白名单出现交叉时，白名单优先。 由于G01的黑白名单是驱动级，因此当驱动未安装成功时，则不生效（主要为Linux系统环境）。所以当出现将IP加入黑名单后还记录该IP攻击日志时，请对照Linux支持内核版本查看是否支持该系统内核版本。 打开“IP黑白名单”功能

  • tesseract ANDROID中的黑名单和白名单

    我正在开发一个Android应用程序，充值的手机通过手机的摄像头或从画廊的卡的照片…我使用tesseract库为此目的采取只使用黑名单和白名单的数字…它没有按预期工作 我使用的图片只包含这两行： 41722757649786 我只想识别数字，而不是字母，也不使用cropper..

  • 黑白名单控制

    很多时候，我们需要根据调用来源来判断该次请求是否允许放行，这时候可以使用 Sentinel 的来源访问控制（黑白名单控制）的功能。来源访问控制根据资源的请求来源（origin）限制资源是否通过，若配置白名单则只有请求来源位于白名单内时才可通过；若配置黑名单则请求来源位于黑名单时不通过，其余的请求通过。 调用方信息通过 ContextUtil.enter(resourceName, origin)

  • linux - nginx 限流配置白名单不生效？

    需要对某个域名下的所有请求速率进行限制，如下配置，设置每个独立的ip每秒只能请求一次，通过geo和map的方式设置白名单，白名单内的ip地址将不做限制，如下配置完成使用jmeter压测发现限制生效了白名单不生效（确认客户端ip没配置错），白名单不生效的原因是什么？

  • Linux下设置防火墙白名单(RHEL 6和CentOS 7)的步骤

    本文向大家介绍Linux下设置防火墙白名单(RHEL 6和CentOS 7)的步骤，包括了Linux下设置防火墙白名单(RHEL 6和CentOS 7)的步骤的使用技巧和注意事项，需要的朋友参考一下 进入Linux 命令行，编辑防火墙规则配置文件 iptables vi /etc/sysconfig/iptables 下面是一个白名单设置的例子： 其中设置白名单的部分为： 使用白名单规则使用 j

相关阅读

配置Nginx服务器防止Flood攻击的方法windows下Nginx多域名简单配置教程使用Python实现简单的服务器功能CentOS服务器iptables配置简单教程Nginx服务器高性能优化的配置方法小结

相关文章

配置Web服务器过程华为 OD 招聘院校名单世界上著名的黑客订单系统核心功能配置DNS和解析域名

相关问答

白名单IP-Mongodb Atlas为spring boot制作黑名单JWT令牌JWT黑名单表和性能问题考虑Kubernetes-通信黑白服务Eclipse添加Tomcat 7空白服务器名

相关工具

黑白棋大师FreeForm智能在线表单设计器功能齐全的计算器Xlight FTP服务器简单阅读器

相关文档

具有高级安全性的 Windows 防火墙DIY 一个实用的 miniLAPP 服务器Seafile 服务器用户手册Vue.js 服务器端渲染指南IPsec VPN 服务器一键安装脚本
快捷导航： 新手教程 算法原理 架构设计 Java进阶 数据库进阶 大厂专栏 面试经验 编程笔记 编程问答 所有专题 文档资料 工具软件 电子书籍 小牛导航
在线工具： 房贷计算器 个税计算器 Linux命令查询 Json格式化 正则表达式 颜色转换 AES加解密 SHA1加密 MD5加密 毒鸡汤 字数统计 随机密码生成 进制转换 Base64编解码 励志句子
Copyright © 2019-2024 小牛知识库@xnip.cn. All Rights Reserved.