Как запретить доступ к ресурсам на основе заголовков X-forwarded-for

Я пытаюсь ограничить доступ к ресурсам за Nginx на основе IP-адреса клиента, переданного в заголовках X-forwarded-for. Nginx работает в контейнере в кластере Kubernetes на облачной платформе Google, а реальные ips клиента передаются только в заголовке x-forwarded-for

До сих пор мне удалось сделать это для одного IP со следующим кодом:

set $allow false;
if ($http_x_forwarded_for ~* 123.233.233.123) {
    set $allow true;
}
if ($http_x_forward_for ~* 10.20.30.40) {
    set $allow false;
}
if ($allow = false) {
    return 403;
}

Но как я могу сделать это для целых диапазонов IP-адресов? Указывать сотни IP-адресов вручную не имеет особого смысла.

Вся помощь приветствуется

Используйте модуль RealIP, чтобы учитывать значение X-Forwarded-Forзаголовка. Установите set_real_ip_fromIP-адрес обратного прокси-сервера (текущее значение $remote_addr).

Например:

server {
    ...
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;
    ...
}

Теперь вы должны быть в состоянии использовать $remote_addrи allow/ denyдирективу , используя истинный IP - адрес клиента. Смотрите этот документ для более.

Ответ Ричарда уже содержал информацию о том, как наилучшим образом получить реальный IP-адрес для nginx.

Между тем, что касается вопроса определения диапазонов IP, вы можете использовать http://nginx.org/en/docs/http/ngx_http_geo_module.html .

В geoмодуль работает , как mapмодуль, то есть переменная получает присваиваться значения в зависимости от значения IP - адреса.

Пример:

geo $allow {
    default 0;
    192.168.168.0/24 1;
}

server {
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;

    if ($allow = 0) {
        return 403;
    }
}

Здесь мы назначаем geoкарту, где значение по умолчанию для $allow0. Если IP-адрес находится в подсети 192.168.168.0/24, то $allowполучит значение 1, и запрос будет разрешен.

Вы можете иметь столько строк в geoблоке, сколько вам нужно для определения диапазонов IP-адресов.

Получил это работает для меня.

geo $remote_addr $giveaccess {
      proxy 172.0.0.0/8; <-- Private IP range here
      default 0;
      11.22.33.44 1; <-- Allowed IP here
    }


server{
##
    location ^~ /secure_url_here {
        if ($giveaccess = 0){
          return 403; 
        }
        try_files $uri $uri/ /index.php?$args; <-- Add this line specific for your CMS, if required.
    }

Ссылка: http://nginx.org/en/docs/http/ngx_http_geo_module.html