6月11日

Posted 2020-11-17

12.13 nginx防盗链

Nginx防盗链

思路与httpd一样，配置也不难，但要与过期时间、不记录日志配置结合起来。

 

1.配置文件内容

vim /usr/local/nginx/conf/vhost/test.com.conf

增加如下配置： location ~* ^.+.(gif|jpg|png|swf|flv|rar|zip|doc|pdf|gz|bz2|jpeg|bmp|xls)$ {     expires 7d;     valid_referers none blocked server_names  *.test.com ;  //定义白名单     if ($invalid_referer) {         return 403;     }                                       //如果不是白名单里就返回403     access_log off; }

最终配置如下图：

 

2.测试语法及重新加载配置

 /usr/local/nginx/sbin/nginx -t

 /usr/local/nginx/sbin/nginx -s reload

 

3.使用curl测试

测试防盗链，需要增加referer才能正常访问，添加referer加-e 需要使用http://

curl -e "http://www.baidu.com/1.txt" -x127.0.0.1:80 -I test.com/1.gif

curl -e "http://www.test.com/1.txt" -x127.0.0.1:80 -I test.com/1.gif

 

http://www.baidu.com/1.txt 不匹配 test.com，所以报403

http://www.test.com/1.txt   匹配 test.com ，所以显示200正常

12.14 Nginx访问控制

Nginx访问控制

1. 需求：访问/admin/目录的请求，只允许某几个IP访问，配置如下：

vim /usr/local/nginx/conf/vhost/test.com.conf

增加如下配置：

location /admin/

{

    allow 172.16.215.130;

    allow 127.0.0.1;

    deny all;

}

最终配置如下图：

 

2.测试语法及重新加载配置

 /usr/local/nginx/sbin/nginx -t

 /usr/local/nginx/sbin/nginx -s reload

3.使用curl测试

  解释说明：

在配置httpd的时候，还有一个order，来定义先allow还是先deny，在Nginx里并没有，只要匹配规则就结束了，假如来源IP为172.16.215.130，它就会从上到下逐一去匹配，第一个IP（127.0.0.1)不匹配，第二IP（172.16.111.100）不匹配，直到第三行（all)的时候才匹配到，匹配的这条规则为deny（也就是拒绝访问），所以最终会返回一个403的状态码，测试如下：

 curl -e "http://www.baidu.com/1.txt" -x127.0.0.1:80 -I test.com/admin/

 curl -x172.16.215.130:80 -I test.com/admin/    //都规则内的IP

 

 curl -x47.97.163.117:80 -I test.com/admin/     //使用规则外的IP返回403，这个阿里的外网IP

 

4.可以匹配正则，限制目录

 vim /usr/local/nginx/conf/vhost/test.com.conf

增加如下内容：

location ~ .*(upload|image)/.*.php$    //匹配upload或者image目录下的.php文件

{

        deny all;                       //匹配upload或者image目录下的.php文件,都不允许访问

}

最终配置如下：

 

4.1.测试语法及重新加载配置

 /usr/local/nginx/sbin/nginx -t

 /usr/local/nginx/sbin/nginx -s reload

4.2 使用curl测试

upload目录下的.php文件不能访问，但是除了.php的其他后缀文件就能访问。

mkdir /data/wwwroot/test.com/upload

vim /data/wwwroot/test.com/upload/1.php

vim /data/wwwroot/test.com/upload/1.txt

 

curl -x127.0.0.1:80 test.com/upload/1.php //测试访问upload目录返回403

 

curl -x127.0.0.1:80 test.com/upload/1.txt    //访问upload目录下的.txt文件正常

 

 cat /tmp/test.com.log    //查看访问日志

 

5.根据user_agent限制

如果你的网站不想被人搜到不会被爬虫，就把那些蜘蛛网封掉，像百度，谷歌等把他们封掉，没有任何网站可以爬到你的数据,相当于网站隐藏一样，除非你告诉它网址。

配置文件如下：

 vim /usr/local/nginx/conf/vhost/test.com.conf

增加如下配置： if ($http_user_agent ~ 'Spider/3.0|YoudaoBot|Tomato') {       return 403; } //deny all和return 403效果一样

最终保存配置如下图：

 

5.1.测试语法及重新加载配置

 /usr/local/nginx/sbin/nginx -t

 /usr/local/nginx/sbin/nginx -s reload

5.2 使用curl测试，-A 模拟user_agent，

Tomato是在限制的user_agent名单里，所以不能访问，这里是没有忽略大小，如果要忽略大小写，可在if语句的 ~ 后面加上 *，如：if ($http_user_agent ~*  ‘Spider/3.0|YoudaoBot|Tomato’)

curl -A "Tomatoalsdkflsd" -x127.0.0.1:80 test.com/upload/1.txt -I   //大写开头的user-agent

 curl -A "tomatoalsdkflsd" -x127.0.0.1:80 test.com/upload/1.txt -I   //小写开头的user-agent

 

结果是大写开头的Tonmatoxxx  被限制了，但是小写的没有被限制，这个是严格匹配的

5.3不区分大小写，可在if语句的 ~ 后面加上 *

vim /usr/local/nginx/conf/vhost/test.com.conf

if ($http_user_agent ~* 'Spider/3.0|YoudaoBot|Tomato')

{

      return 403;

}

配置如下：

 

测试如下：

curl -A "tomatoalsdkflsd" -x127.0.0.1:80 test.com/upload/1.txt -I

 

 12.15 Nginx解析php相关配置

Nginx解析php相关配置

在LAMP中，PHP是作为httpd的一个模块出现的，只要PHP模块被加载，那么就能解析PHP脚本了，而在LNMP中，PHP是以一个服务（php-fpm）的形式存在的，首先要启动php-fpm服务，然后Nginx再和php-fpm通信。也就是说，处理PHP脚本解析的工作是由php-fpm处理完成后把结果传递给Nginx，Nginx再把结果返回给用户。

1.测试解析，还没增加php解析时先编辑一个php文件，测试是否可以解析php

 vi /data/wwwroot/test.com/3.php    //添加发下内容

<?php phpinfo(); ?>

curl -x127.0.0.1:80 test.com/3.php

 

2.修改配置文件

vim /usr/local/nginx/conf/vhost/test.com.conf

增加配置如下： location ~ .php$     {         include fastcgi_params;         fastcgi_pass unix:/tmp/php-fcgi.sock;          fastcgi_index index.php;         fastcgi_param SCRIPT_FILENAME /data/wwwroot/test.com$fastcgi_script_name;     }

最终配置如下图：

 

3.测试语法及重新加载配置

 /usr/local/nginx/sbin/nginx -t

 /usr/local/nginx/sbin/nginx -s reload

4. curl 测试解析是否正常

curl -x127.0.0.1:80 test.com/3.php    //解析成功

 

5.如果我们在虚拟主机配置文件中的sock文件出错则解析时会出现502报错

 

5.1 php-fpm的配置文件中定义.sock文件，及其路径

cat /usr/local/php-fpm/etc/php-fpm.conf

 

如果出现了502报错，先检查一下虚拟主机中添加解析php 配置内容与php-fpm配置两者的sock文件路径是不是一致的

5.2 如果我们的 /usr/local/php-fpm/etc/php-fpm.conf 配置文件中监听的：

不是： listen = /tmp/php-fcgi.sock

而是 ：listen = 127.0.0.1：9000 是这种ip+端口

 

那么我们在虚拟主机配置文件中解析php配置内容也相应的修改：

 

12.16 Nginx代理

Nginx代理

一家公司有很多台服务器，为了节省成本，不能为所有服务器都分配公网IP，而如果一个没有公网IP的服务器提供web服务，就可以通过代理来实现

 

1.进入目录新建一个新的配置文件：

cd /usr/local/nginx/conf/vhost

vim proxy.conf

增加如下内容：

server {     listen 80;     server_name ask.apelearn.com;     location /     {         proxy_pass      http://121.201.9.155/; //指定要代理的域名所在的服务器IP，即Web服务器的地址         proxy_set_header Host   $host;         proxy_set_header X-Real-IP      $remote_addr;         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;     } } //这里没有root，因为它是代理服务器，不需要访问本地服务器上的任何文件

最终配置如下图：（通过ping显示最新ask.apelearn.com的ip地址）

 

2.测试语法及重新加载配置

 /usr/local/nginx/sbin/nginx -t

 /usr/local/nginx/sbin/nginx -s reload

3.测试 针对蜘蛛的索引的列表，一般网站都会有这个

curl ask.apelearn.com/robots.txt

 

3.1通过本地的IP访问了远程的站点，代理服务器就是我们的虚拟机，Web服务器就是我们访问的ask.apelearn.com。

curl -x127.0.0.1:80 ask.apelearn.com/robots.txt