0814防盗链访问控制代理
12.13 Nginx防盗链
•配置如下，可以和不记录日志和过期时间配置结合起来
location ~* ^.+\.(gif|jpg|png|swf|flv|rar|zip|doc|pdf|gz|bz2|jpeg|bmp|xls)$
{
expires 7d;
valid_referers none blocked server_names *.test.com ;
#这里定义.test.com为白名单
if ($invalid_referer) {
return 403;
#这里表示如果不在白名单内直接回馈403
}
access_log off;
}
/usr/local/nginx/sbin/nginx -t
/usr/local/nginx/sbin/nginx -s reload
curl -I -e "http://www.baidu.com/1.txt" -x127.0.0.1:80 test.com/1.gif 显示403
curl -I -e "http://www.test.com/1.txt" -x127.0.0.1:80 test.com/1.gif 显示200
说明配置成功
12.14 Nginx访问控制
限制某些ip不能访问，或者只允许一部分访问
需要制作白名单，先allow写ip地址，再把其他ip全部限制deny all
配置如下：
location /admin/
{
allow 192.168.153.130;
allow 127.0.0.1;
deny all;
}
创建location指定的目录
• mkdir /data/wwwroot/test.com/admin/ (已经有了这个文件夹不用再建了)
• echo “test,test”>/data/wwwroot/test.com/admin/1.html
• -t && -s reload
• curl -x127.0.0.1:80 test.com/admin/1.html -I
• curl -x192.168.204.131:80 test.com/admin/1.html -I 这两个ip都可以访问到
上面配置ip也可以是ip段，就可以写成allow 192.168.153.0/24
如果只拒绝几个ip的访问就是
location /admin/
{
deny 192.168.188.1;
deny 192.168.8.8;
}
• 可以匹配正则来限制
网站被黑，数据库被盗窃，没有禁止上传图片的php解析
这样可以把访问的URL中带有abc或者image的字符串，并且为php请求的拒绝访问
location ~ .*(abc|image)/.*\.php$
{
deny all;
}
测试：
/usr/local/nginx/sbin/nginx -t
/usr/local/nginx/sbin/nginx -s reload
mkdir /data/wwwroot/test.com/abc
echo "111" > /data/wwwroot/test.com/abc/1.php
curl -x127.0.0.1:80 test.com/abc/1.php -I
结果为403拒绝访问
echo "111" > /data/wwwroot/test.com/abc/1.txt
curl -x127.0.0.1:80 test.com/abc/1.php -I
结果200可以访问，实验成功，禁止了abc的php解析
•根据user_agent限制，用的很多
需求：受到cc攻击，要禁掉百度蜘蛛，想做被隐藏的网站
if ($http_user_agent ~ 'Spider/3.0|YoudaoBot|Tomato')
{
return 403;
}
这里~指匹配符号，只要有Spider/3.0或YoudaoBot或Tomato字符串的直接被拒绝，返回403
• deny all和return 403效果一样
实验：
/usr/local/nginx/sbin/nginx -t
/usr/local/nginx/sbin/nginx -s reload
模拟user_agent的方法：
-A 随意指定自己这次访问所宣称的自己的浏览器信息
curl -A “Tomatoabcabcabc”-x127.0.0.1:80 test.com/abc/1.txt
显示为403拒绝访问
如果关键词大小写有改动就恢复200，需要忽略大小写就~*（~后面加*）
12.15 Nginx解析php相关配置
•vim /usr/local/nginx/conf/vhost/test.com.conf配置如下：
location ~ \.php$
{
include fastcgi_params;
fastcgi_pass unix:/tmp/php-fcgi.sock; （此处错误出现502，找不到sock）
#fastcgi_pass 127.0.0.1:9000
#fastcgi_pass 两种监听格式，但是要保证Nginx和php-fpm中格式一致
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /data/wwwroot/test.com$fastcgi_script_name;
#这里的地址和最上面的root保持一致
}
• fastcgi_pass 用来指定php-fpm监听的地址或者socket
• php文件目录usr/local/php-fpm/var/php-fpm.log中sock地址要写到虚拟主机配置文件fastcgi_pass中
不监听sock换成监听ip和端口，两个配置文件修改后保持一致否则502，需要重启
netstart -lntp 查看监听端口
测试：
vim /data/wwwroot/test.com/3.php
写入<?php phpinfo();
curl -x127.0.0.1:80 test.com/3.php 出现不能解析
配置后再次curl可以解析
502报错问题：
检查虚拟主机配置文件sock和php文件目录定义的sock是否一致
修改fastcgi_pass后报错502
nginx错误日志：cat /usr/local/nginx/logs/nginx_error.log
vim /usr/local/php-fpm/etc/php-fpm.conf 查看php文件目录定义的sock
修改为监听ip端口
查看端口是否监听
然后去修改虚拟主机配置文件
两边配置文件修改完成，这时curl -x127.0.0.1:80 test.com/3.php解析成功
此外502还有一种可能，php-fpm资源耗尽，查询很慢，解决为优化
12.16 Nginx代理
用户需要访问web服务器，需要找一个中间者，中间者与两面都互通，就能做一个代理者
中国到美国很慢，到香港快，香港到美国快，就可以通过香港代理访问美国服务器
创建新的配置文件
该虚拟主机只用作代理服务器，不需要访问本地文件，所以不需要设置站点根目录
• cd /usr/local/nginx/conf/vhost/
• vim proxy.conf //加入如下内容
server
{
listen 80;
server_name ask.apelearn.com;
location /
{
proxy_pass http://121.201.9.155/;
#这里是告诉Nginx代理服务器，真正要被访问的web服务器ip是多少
proxy_set_header Host $host;
#Host指的是要访问的域名servername，就是代理服务器真正访问的域名ask.apelearn.com
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
代理前后对比
curl -x127.0.0.1:80 ask.apelearn.com/robots.tx
显示为404
/usr/local/nginx/sbin/nginx -t
/usr/local/nginx/sbin/nginx -s reload
curl -x127.0.0.1:80 ask.apelearn.com/robots.txt
显示成功
这里测试是指通过本地ip访问到远程站点，这里设置的代理服务器是虚拟机，web服务器是阿铭论坛
出现代理需求就定义远程服务端，就是web服务器的ip
扩展
http://ask.apelearn.com/question/9109502问题汇总
http://blog.lishiming.net/?p=100location优先级
