小知识：为Nginx服务器配置黑名单或白名单功能的防火墙

功能描述：

处在黑名单中的ip与网络，将无法访问web服务。

处在白名单中的ip，访问web服务时，将不受nginx所有安全模块的限制。

支持动态黑名单（需要与ngx_http_limit_req 配合）

具体详见下面的说明

文件配置方法说明

一、定义黑名单或白名单方法：

1. 配置格式

配置关键字 黑名单或白名单文件 存储空间

white_black_list_conf conf/white.list zone=white:2m;

  | | | |

  | | | ————————————–存储空间大小 这里是2m. 空间大小决定黑白名单的容量

  | | ———————————————————————————————存储空间名

  | —————————————————————黑名单或白名单配置文件路径

  ————————————————配置命令

2. 配置关键字 white_black_list_conf。

3. 只能在http{} 中使用

4. white_black_list_conf可以配置多个 只需 zone=value 其中的value不同就可

5. 配置示例：

二、黑白名单作用范围

1. 配置格式

配置关键字 on/off

配置关键字有：white_list 与 black_list 分别用来表示白名单与黑名单

2. 能在http{}、server{}、location{}下使用, 功能默认是关闭

3. 配置示例：

（2）配置方法：

a. http://xxx/sec_config 查看黑白名单定义情况

返回结果如下

b. http://xxx/sec_config?zone_name=white 查看zone_name 为white 的 list_path中的具体内容

c.http://xxx/sec_config?zone_name=white&add_item=192.168.141.23 向 zone_name 为white 中增加192.168.141.23

d. http://xxx/sec_config?zone_name=white&delete_item=192.168.141.23 在 zone_name 为white 中删除192.168.141.23

查看配置方法2:

http://xxx/sec_config?for_each

三、黑白名单文件内容 conf/black.list 文件内容如下

四、动态黑名单

    要使用该功能必须对 ngx_http_limit_req_module.c 进行patch

    在ngx_http_limit_req_module.c中

    增加#include

    并修改代码找到：

    在其下面增加：

        配备关键字：

                dyn_black

        格式：

                dyn_black $zone_name time;

        比如：

                dyn_black black 60; //禁止访问60秒，60秒后自动解除

        注意：

                必须要配置black_list

        配置示例：

PS：基于lua-nginx-module的ngx_lua_waf防火墙

项目地址：https://github.com/loveshell/ngx_lua_waf?utm_source=tuicool&utm_medium=referral

推荐安装:

推荐使用lujit2.1做lua支持

ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。

使用说明：

nginx安装路径假设为:/usr/local/nginx/conf/

把ngx_lua_waf下载到conf目录下,解压命名为waf

在nginx.conf的http段添加

配置config.lua里的waf规则目录(一般在waf/conf/目录下)

绝对路径如有变动，需对应修改

然后重启nginx即可

配置文件详细说明：

  RulePath = “/usr/local/nginx/conf/waf/wafconf/”

  –规则存放目录

  attacklog = “off”

  –是否开启攻击信息记录，需要配置logdir

  logdir = “/usr/local/nginx/logs/hack/”

  –log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限

  UrlDeny=”on”

  –是否拦截url访问

  Redirect=”on”

  –是否拦截后重定向

  CookieMatch = “on”

  –是否拦截cookie攻击

  postMatch = “on”

  –是否拦截post攻击

  whiteModule = “on”

  –是否开启URL白名单

  ipWhitelist={“127.0.0.1”}

  –ip白名单，多个ip用逗号分隔

  ipBlocklist={“1.0.0.1”}

  –ip黑名单，多个ip用逗号分隔

  CCDeny=”on”

  –是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;)

  CCrate = “100/60”

  –设置cc攻击频率，单位为秒.

  –默认1分钟同一个IP只能请求同一个地址100次

  html=[[Please go away~~]]

  –警告内容,可在中括号内自定义

  备注:不要乱动双引号，区分大小写

检查规则是否生效

部署完毕可以尝试如下命令：

    返回”Please go away~~”字样，说明规则生效。

注意:默认，本机在白名单不过滤，可自行调整config.lua配置

规则更新：

考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。

规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。

只记录过滤日志，不开启过滤，在代码里在check前面加上–注释即可，如果需要过滤，反之

一些说明：

过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割

  global是全局过滤文件，里面的规则对post和get都过滤    get是只在get请求过滤的规则     post是只在post请求过滤的规则     whitelist是白名单，里面的url匹配到不做过滤      user-agent是对user-agent的过滤规则

默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分–注释即可

日志文件名称格式如下:虚拟主机名_sec.log