主頁 > 知識庫 > nginx ip黑名單動態(tài)封禁的例子

nginx ip黑名單動態(tài)封禁的例子

熱門標(biāo)簽:百度地圖標(biāo)注公司位置要多少錢 山東企業(yè)外呼系統(tǒng)公司 濮陽好的聯(lián)通400電話申請 地圖標(biāo)注黃河的位置 虛假地圖標(biāo)注 承德地圖標(biāo)注公司 靈圖uu電子寵物店地圖標(biāo)注 400電話號碼辦理多少錢 地圖標(biāo)注如何改成微信號

網(wǎng)站被惡意請求,拉黑IP是重要的手段,如果每次拉黑都要到nginx上配置,未免太low了;我們需要更方便的控制nginx IP黑名單。

1.方案

黑名單持久化到mysql (常見的方案是redis,但不利于控制,如:不同的IP設(shè)置不同的有效期、IP的CRUD、統(tǒng)計等等);

通過lua-nginx-module,在nginx中開辟一塊內(nèi)存(lua_shared_dict),lua將黑名單定期從mysql全量刷新至lua_shared_dict;

所有請求,都要到與lua_shared_dict中的IP check一下。

2.安裝

2.1 安裝luajit

cd LuaJIT-2.0.5
make
make install PREFIX=/usr/local/luajit

2.2.安裝nginx時,將lua模塊編譯進去

export LUAJIT_LIB=/usr/local/luajit/lib
export LUAJIT_INC=/usr/local/luajit/include/luajit-2.1
 
./configure --prefix=/nginx \

--with-ld-opt="-Wl,-rpath,/usr/local/luajit/lib" \

--add-module=/opt/ngx_devel_kit-0.3.1rc1 \

--add-module=/opt/lua-nginx-module-0.10.14rc3
 
make -j2
make install
ln -s /nginx/sbin/nginx /usr/sbin/nginx

3.配置

3.1 nginx配置

http {
  server_tokens off;
  lua_package_path "/usr/local/lib/lua/?.lua;;";
  lua_shared_dict ip_blacklist 4m;
}
 
server {
  set $real_ip $remote_addr;
  if ( $http_x_forwarded_for ~ "^(\d+\.\d+\.\d+\.\d+)" ) {
    set $real_ip $1;
  }
 
  # 管理信息,訪問該URL可以查看nginx中的IP黑名單信息
  location /get-ipblacklist-info {
    access_by_lua_file conf/lua/get_ipblacklist_info.lua;
  }
 
  # 同步URL,通過定時任務(wù)調(diào)用該URL,實現(xiàn)IP黑名單從mysql到nginx的定時刷新
  location /sync-ipblacklist {
   access_by_lua_file conf/lua/sync_ipblacklist.lua;
  }
 
  # 生產(chǎn)域名配置,所有需要IP黑名單控制的location,都要包含以下語句
  location / {
   access_by_lua_file conf/lua/check_realip.lua;
  }
 
}

nginx服務(wù)器配置以下crrontab

* * * * * /usr/bin/curl -o /dev/null -s http://127.0.0.1/sync-ipblacklist > /dev/null 2>&1

3.2 lua腳本

sync_ipblacklist.lua

local mysql_host = "ip of mysql server"
local mysql_port = 3306
local database = "dbname"
local username = "user"
local password = "password"
 
-- update ip_blacklist from mysql once every cache_ttl seconds
local cache_ttl  = 1
local mysql_connection_timeout = 1000
 
local client_ip  = ngx.var.real_ip
local ip_blacklist  = ngx.shared.ip_blacklist
local last_update_time = ip_blacklist:get("last_update_time");
 
if last_update_time == nil or last_update_time < ( ngx.now() - cache_ttl ) then
 
 local mysql = require "resty.mysql";
 local red = mysql:new();
 
 red:set_timeout(mysql_connect_timeout);
 
 local ok, err, errcode, sqlstate = red:connect{
     host = mysql_host,
     port = mysql_port,
     database = database,
     user = username,
     password = password,
     charset = "utf8",
     max_packet_size = 1024 * 1024,
    }
 if not ok then
 ngx.log(ngx.ERR, "mysql connection error while retrieving ip_blacklist: " .. err);
 else
 new_ip_blacklist, err, errcode, sqlstate = red:query("select ip_addr from ip_blacklist where status = 0 order by create_time desc limit 10000", 100)
 if not new_ip_blacklist then
  ngx.log(ngx.ERR, "bad result. errcode: " .. errcode .. " sqlstate: " .. sqlstate .. " err: " .. err);
  return
 end
 
 ip_blacklist:flush_all();
 for k1, v1 in pairs(new_ip_blacklist) do
  for k2, v2 in pairs(v1) do
  ip_blacklist:set(v2,true);
  end
 end
 
 ip_blacklist:set("last_update_time", ngx.now());
 end
end
 
ngx.say("sync successful");

get_ipblacklist_info.lua

-- 調(diào)用URL查看黑名單信息
-- 1萬IP消耗不到1.5M ngx.shared內(nèi)存
-- 獲取所有KEY會堵塞別的正常請求對ngx.shared內(nèi)存的訪問,因此只能取少數(shù)key展示
require "resty.core.shdict"
ngx.say("total space: " .. ngx.shared.ip_blacklist:capacity() .. "<br/>");
ngx.say("free space: " .. ngx.shared.ip_blacklist:free_space() .. "<br/>");
ngx.say("last update time: " .. os.date("%Y%m%d_%H:%M:%S",ngx.shared.ip_blacklist:get("last_update_time")) .. "<br/>");
ngx.say("first 100 keys: <br/>");
ngx.say("--------------------------<br/>");
ip_blacklist = ngx.shared.ip_blacklist:get_keys(100);
for key, value in pairs(ip_blacklist) do
 ngx.say(key .. ": " .. value .. "<br/>");
end

check_realip.lua

if ngx.shared.ip_blacklist:get(ngx.var.real_ip) then
 return ngx.exit(ngx.HTTP_FORBIDDEN);
end

3.3 數(shù)據(jù)庫設(shè)計

CREATE TABLE `ip_blacklist` (
 `id` int(11) NOT NULL AUTO_INCREMENT,
 `ip_addr` varchar(15) COLLATE utf8mb4_bin DEFAULT NULL,
 `status` int(11) DEFAULT '0' COMMENT '0: valid 有效, 1: invalid 失效',
 `effective_hour` decimal(11,2) DEFAULT '24' COMMENT '有效期,單位:小時',
 `ip_source` varchar(255) COLLATE utf8mb4_bin DEFAULT NULL COMMENT '黑名單來源',
 `create_time` datetime DEFAULT CURRENT_TIMESTAMP,
 `modify_time` datetime DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
 `remark` varchar(255) COLLATE utf8mb4_bin DEFAULT NULL COMMENT '備注',
 PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_bin;
 
 
CREATE PROCEDURE proc_ip_blacklist_status_update()
-- 將過期的IP狀態(tài)改為失效
begin 
 update ip_blacklist
 set status=1
 where date_add(create_time,INTERVAL effective_hour hour) < now();
 commit;
end;
 
 
CREATE EVENT job_ip_blacklist_status_update
ON SCHEDULE EVERY 1 MINUTE
ON COMPLETION PRESERVE
ENABLE
DO
call proc_ip_blacklist_status_update();

4 CRUD

黑名單產(chǎn)生有手工的方式,也有自動的方式,或者兩者兼有。

自動的方式有通過python分析elk日志,將惡意IP自動寫入mysql,這是個大話題,這里不涉及。

手工的方式可以人肉查看elk請求日志,發(fā)現(xiàn)惡意IP,手工填入mysql,這里推薦一個開源的CRUD工具,用戶體驗很nice(比直接navicat好多了),當(dāng)然也可以自己寫……

項目地址:https://github.com/jonseg/crud-admin-generator

項目的強大之處在于,所有表都幫你生成菜單,然后這些表的CRUD就直接用了。

具體操作見官方說明,就不贅述了。

以上這篇nginx ip黑名單動態(tài)封禁的例子就是小編分享給大家的全部內(nèi)容了,希望能給大家一個參考,也希望大家多多支持腳本之家。

標(biāo)簽:德宏 上海 福州 安康 樂山 泰安 鷹潭 淮安

巨人網(wǎng)絡(luò)通訊聲明:本文標(biāo)題《nginx ip黑名單動態(tài)封禁的例子》,本文關(guān)鍵詞  nginx,黑名單,動態(tài),封禁,;如發(fā)現(xiàn)本文內(nèi)容存在版權(quán)問題,煩請?zhí)峁┫嚓P(guān)信息告之我們,我們將及時溝通與處理。本站內(nèi)容系統(tǒng)采集于網(wǎng)絡(luò),涉及言論、版權(quán)與本站無關(guān)。
  • 相關(guān)文章
  • 下面列出與本文章《nginx ip黑名單動態(tài)封禁的例子》相關(guān)的同類信息!
  • 本頁收集關(guān)于nginx ip黑名單動態(tài)封禁的例子的相關(guān)信息資訊供網(wǎng)民參考!
  • 推薦文章