四十九Nginx防盗链Nginx访问控制Nginx解析PHP相关配置Nginx代理

Posted 2020-11-01

四十九、nginx防盗链、Nginx访问控制、Nginx解析php相关配置、Nginx代理

一、Nginx防盗链

       必须和“不记录日志和过期时间”结合在一起，因为它们同时用到了location。

# vim /usr/local/nginx/conf/vhost/test.com.conf

location ~* ^.+\.(gif|jpg|png|bmp|swf|jpeg|flv|rar|zip|doc|pdf|gz|bz2|xls)$

{

          expires 7d;    过期时间

          valid_referers none blocked server_names *.test.com;

//定义白名单的referer。

          if ($invalid_referer) {

//如果访问的不是白名单的，就会反馈403。

              return 403;

          }

          access_log off;   访问日志不记录

}

# /usr/local/nginx/sbin/nginx -t

# /usr/local/nginx/sbin/nginx -s reload

测试：

# curl -x 127.0.0.1:80 test.com/1.gif -I

HTTP/1.1 200 OK

# curl -x 127.0.0.1:80 test.com/1.jpg -I

HTTP/1.1 200 OK

# curl -e "http://www.baidu.com/1.txt" -x 127.0.0.1:80 test.com/1.jpg -I

HTTP/1.1 403 Forbidden

# curl -e "http://www.test.com/1.txt" -x 127.0.0.1:80 test.com/1.jpg -I

HTTP/1.1 200 OK

referer是test.com时就不会拒绝访问，说明防盗链配置成功了。

核心配置就这三行：

valid_referers none blocked server_names *.test.com;

if ($invalid_referer) {

return 403;       //这里也可以写deny all。

二、Nginx访问控制

需求：访问/admin/目录的请求，只允许某几个IP访问，配置如下：

# vim /usr/local/nginx/conf/vhost/test.com.conf

location /admin/

{

  allow 192.168.93.130;

  allow 127.0.0.1;

  deny all;

}

没有像Apache那样的先allow，再deny这个顺序一说。

Nginx的是只要匹配到这个IP这条规则，就停止了，就不再继续匹配其他规则了，也就不会被deny，所以最终的结果是allow。

所以三条规则中，来源IP只有一条会生效。

针对正则进行匹配：

# vim /usr/local/nginx/conf/vhost/test.com.conf

location ~.*(upload|image)/.*\.php$

{

   deny all;

}

# /usr/local/nginx/sbin/nginx -t

# /usr/local/nginx/sbin/nginx -s reload

测试：

# mkdir /data/wwwroot/test.com/upload

# echo "11111" > /data/wwwroot/test.com/upload/1.php

#  echo "11111" > /data/wwwroot/test.com/upload/1.txt

# curl -x 127.0.0.1:80 test.com/upload/1.php -I

HTTP/1.1 403 Forbidden            //直接被拒绝了

# curl -x 127.0.0.1:80 test.com/upload/1.txt -I

HTTP/1.1 200 OK

# cat /tmp/test.com.log

127.0.0.1 - [27/Apr/2018:04:59:16 +0800] test.com "/upload/1.php" 403 "-" "curl/7.29.0"

127.0.0.1 - [27/Apr/2018:05:03:43 +0800] test.com "/upload/1.txt" 200 "-" "curl/7.29.0"

txt可以访问，php禁止了。

根据user_agent限制：

# vim /usr/local/nginx/conf/vhost/test.com.conf

if ($http_user_agent ~* 'Spider/3.0|Youdaobot|Tomato')

{

    return 403;        //deny all和return 403效果一样

}

# /usr/local/nginx/sbin/nginx -t

# /usr/local/nginx/sbin/nginx -s reload

$http_user_agent ~*：匹配符后面加个*号就可以忽略大小写。

# curl -A "tomato" -x 127.0.0.1:80 test.com/upload/1.txt -I

HTTP/1.1 403 Forbidden

# curl -A "Tomato" -x 127.0.0.1:80 test.com/upload/1.txt -I

HTTP/1.1 403 Forbidden

三、Nginx解析PHP相关配置

# vim /usr/local/nginx/conf/vhost/test.com.conf

location ~ \.php$

{

include fastcgi_params;

fastcgi_pass unix:/tmp/php-fcgi.sock;

//当这里写的另外的路径，就会显示502，因为找不到socket。

fastcgi_index index.php;

fastcgi_param SCRIPT_FILENAME /data/wwwroot/test.com$fastcgi_script_name;

}

# /usr/local/nginx/sbin/nginx -t

# /usr/local/nginx/sbin/nginx -s reload

# vim /data/wwwroot/test.com/2.php

<?php

phpinfo();

# curl -x 127.0.0.1:80 test.com/2.php

没有重新加载配置文件之前访问出来的是源代码，加载之后才能解析出来，访问看到的是内容。

   当出现状态码502的时候：要检查这个地方，Nginx和php-fpm所配置的地址是否对应；fastcgi_pass unix:/tmp/php-fcgi.sock;

（一）首先，看一下错误日志，先看这个文件有没有（/tmp/php-cgi.sock），如果没有，然后查看php-fpm.conf文件查看sock是什么，再对应Nginx这边的fastcgi_pass，要对应，不然就会502。

（二）要监听端口

知道监听的是IP和端口，在配置文件中就要做更改

将fastcgi_pass unix:/tmp/php-fcgi.sock;改为：

fastcgi_pass 127.0.0.1:9000;

不然就会502。

# vim /usr/local/php-fpm/etc/php-fpm.conf

listen.mode = 666    读写的权限：666

四、Nginx代理

# cd /usr/local/nginx/conf/vhost/

[[email protected] vhost]# vim proxy.conf

server

{

   listen 80;

   server_name ask.apelearn.com;

   location /

   {

       proxy_pass      http://121.201.9.155/;   //web服务器地址

       proxy_set_header Host   $host;   //$Host就是server_name

       proxy_set_header X-Real-IP      $remote_addr;

       proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

   }

}

# /usr/local/nginx/sbin/nginx -t

# /usr/local/nginx/sbin/nginx -s reload

# curl -x 127.0.0.1:80 ask.apelearn.com/robots.txt

此时代理服务器就是我的虚拟机，web服务器就是ask.apelearn.com这个论坛