Zezwalaj tylko lokalnym użytkownikom w nginx

Chcę ograniczyć dostęp do niektórych VHostów, aby tylko 127.0.0.1 mogło uzyskać do niego dostęp. Zawsze użyłem czegoś takiego do powiązania VHost z hostem lokalnym, a nie z zewnętrznym adresem IP:

server {
    listen 127.0.0.1;
    server_name myvhost.local;
    location / {
        ....
    }
}

Zauważyłem jednak, że niektóre samouczki zawierają również wyraźne allowwytyczne dla hosta lokalnego i wyraźnie zaprzeczają wszystkim innym:

server {
    listen 127.0.0.1;
    server_name myvhost.local;
    location / {
        allow 127.0.0.1;
        deny all;
        ...
    }
}

Czy te allow/ denydyrektywy są naprawdę potrzebne, gdy słucham już tylko wersji 127.0.0.1?

listenDyrektywa mówi o tym, co system operacyjny z interfejsem sama wiąże serwera WWW. Tak więc, kiedy spojrzysz na to netstat -apo uruchomieniu nginx, zobaczysz, że nginx nasłuchuje tylko na porcie 80 127.0.0.1 IP, co oznacza, że ​​do serwera nginx nie można uzyskać dostępu za pośrednictwem innego interfejsu.

Wiązanie z określonym adresem IP działa na niższym poziomie w rzeczywistym stosie sieciowym niż dyrektywy allow/ denyw konfiguracji nginx.

Oznacza to, że nie potrzebujesz osobnych allow/ denydyrektyw w konfiguracji z przypadkiem użycia, ponieważ połączenia są ograniczone niżej na stosie sieciowym.

Jeśli podasz listen 80;tylko i użyjesz allow/ denydyrektyw, nginx wyśle ​​do klienta kod błędu HTTP, informując, że odmowa dostępu.

W takim listen 127.0.0.1;przypadku przeglądarka nie może w ogóle połączyć się z serwerem, ponieważ nie ma otwartego portu TCP, z którym mogłaby się połączyć.

Powiedzmy, że masz identyfikator sieci 192.168.1.0, edytuj plik conf w następujący sposób:

location / {
  # block one workstation
  deny    192.168.1.1;
  # allow anyone in 192.168.1.0/24
  allow   192.168.1.0/24;
  # drop rest of the world
  deny    all;
}

Daj mi znać, jak to działa.

Edycja nr 1:

Tak, zgodnie z oficjalną wiki Nginx jest to konieczne . Ich przykładem jest:

location / {
    allow 192.168.1.1/24;
    allow 127.0.0.1;
    deny 192.168.1.2;
    deny all;
}

Chciałem osiągnąć tę samą funkcjonalność (zezwalaj tylko lokalnym użytkownikom w nginx) i doszedłem do wniosku, że mogę zrobić coś takiego:

server {
    listen 127.0.0.1:80;

    index index.html index.htm index.nginx-debian.html;

    location = /favicon.ico { access_log off; log_not_found off; }

    location /static/ {
        root /path/to/folder;
    }       

    location / {
        include proxy_params;
    }
}

Ten plik konfiguracyjny działa dla mnie dobrze, nie używam żadnej allowdyrektywy, ale tylko 127.0.0.1:80i dzięki temu jestem w stanie ograniczyć dostęp nginx tylko do lokalnych użytkowników!