基於Nginx Geo與Nginx Map模塊進行Nginx白名單配置

  一、簡介
在通常情況下，使用 nginx 基於 ip 限制訪問請求頻率等限制內容，我們會需要對特定ip進行限制排除操作，因此本文引入了基於nginx geo 與 nginx map 進行此類情景相關配置；

在沒有人為操作刪除的情況下（without-http_geo_module），nginx默認模塊中已經加載了ngx-http-geo-module相關內容；

ngx-http-geo-module可以用來創建變量，變量值依賴於客戶端 ip 地址;

ngx-http-map-module可以基於其他變量及變量值進行變量創建，其允許分類，或者映射多個變量到不同值並存儲在一個變量中；

ngx-http-map-module相關內容同樣在默認nginx中已存在，除非由人為移除（ --without-http_map_module）

二、相關指令格式
Nginx geo 格式說明

Syntax ( 語法格式 ): geo [$address] $variable { ... }
Default ( 默認 ): -
Content ( 配置段位 ): http

Nginx map 格式說明

Syntax ( 語法格式 ): map String $variable { ... }
Default ( 默認 )：-
Content ( 配置段位 ): http

三、白名單配置示例

http{
 
    # ... 其他配置內容
     
     
    #定義白名單ip列表變量
    geo $whiteiplist { 
          default 1 ;
          #myself
           127.0.0.1/32 0;
         #remote ip 
          64.223.160.0/19 0;
     }
      
     #使用map指令映射將白名單列表中客戶端請求ip為空串
     map $whiteiplist $limit{
        1 $binary_remote_addr ;
        0 "";
     }
      
     #配置請求限制內容
     limit_req_zone $limit zone=foo:1m rate=10r/m;     
}
 
server{
  location /yourApplicationName {
      proxy_pass http://192.168.1.111:8095/app;
      # 在 server 中進行限制配置引用 zone = foo
      limit_req zone=foo burst=5 nodelay;           
  }
}

白名單配置可用於對合作客戶，搜索引擎等請求過濾限制

#（特殊情況處理）
 
  #如果想僅限制指定的請求，如：只限制Post請求，則：
 
    http{
       
      # 其他請求..
       
      #請求地址map映射
        map $request_method $limit {
            default "";
            POST $binary_remote_addr;
          }
 
       #限制定義
       limit_req_zone $limit zone=reqlimit:20m rate=10r/s;
        
   }
    
   #然後在server中進行引用。
    
   server{
      ... #與普通限制一致
    }
 
     
     
     
     
     
 #在此基礎上，想進行指定方法的白名單限制處理，則：
  
 http{
   
   #... 
    
   #定義白名單列表
   map $whiteiplist $limitips{
            1 $binary_remote_addr;
            0 "";
       }
 
 
    #基於白名單列表，定義指定方法請求限制
    map $request_method $limit {
            default "";
           # POST $binary_remote_addr;
             POST $limitips;
        }
 
    #對請求進行引用    
    limit_req_zone $limit zone=reqlimit:20m rate=10r/s; 
     
    #在server中進行引用
    server{
       #... 與普通限制相同
    }
     
     
    # 對應用中指定請求路徑不設置限制,如對請求路徑為  即api目錄下的請求不做
    # 限制，則可寫為 
    server{
      location /app {
         proxy_pass http://192.168.1.111:8095/app;
         limit_req zone=foo burst=5 nodelay; 
      }
      location /app/api {
          proxy_pass http://192.168.1.111:8095/app/api
      }
    }
     
    # 因nginx會優先進行精准匹配，所以以上寫法即接觸了對api目錄下屬路徑的限制