Nginx 通過 Lua + Redis 實現動態封禁 IP

李增田發布于2019-07-25 14:39 / 1928人閱讀

摘要：背景為了封禁某些爬蟲或者惡意用戶對服務器的請求，我們需要建立一個動態的黑名單。對于黑名單之內的，拒絕提供服務。配置腳本，定期從獲取最新的黑名單。在服務器上新建類型的數據，并加入最新的黑名單。

背景

為了封禁某些爬蟲或者惡意用戶對服務器的請求，我們需要建立一個動態的 IP 黑名單。對于黑名單之內的 IP ，拒絕提供服務。

架構

實現 IP 黑名單的功能有很多途徑：
1、在操作系統層面，配置 iptables，拒絕指定 IP 的網絡請求；
2、在 Web Server 層面，通過 Nginx 自身的 deny 選項或者 lua 插件配置 IP 黑名單；
3、在應用層面，在請求服務之前檢查一遍客戶端 IP 是否在黑名單。

為了方便管理和共享，我們選擇通過 Nginx+Lua+Redis 的架構實現 IP 黑名單的功能，架構圖如下：

實現

1、安裝 Nginx+Lua模塊，推薦使用 OpenResty，這是一個集成了各種 Lua 模塊的 Nginx 服務器：

2、安裝并啟動 Redis 服務器；
3、配置 Nginx 示例：

Nginx 配置

其中

lua_shared_dict ip_blacklist 1m;

由 Nginx 進程分配一塊 1M 大小的共享內存空間，用來緩存 IP 黑名單。

access_by_lua_file lua/ip_blacklist.lua;

指定 lua 腳本位置。

4、配置 lua 腳本，定期從 Redis 獲取最新的 IP 黑名單。

5、在 Redis 服務器上新建 Set 類型的數據 ip_blacklist，并加入最新的 IP 黑名單。

完成以上步驟后，重新加載 nginx，配置便開始生效了。這時訪問服務器，如果你的 IP 地址在黑名單內的話，將出現拒絕訪問，如下圖：

總結

以上，便是 Nginx+Lua+Redis 實現的 IP 黑名單功能，具有如下優點：

1、配置簡單、輕量，幾乎對服務器性能不產生影響；
2、多臺服務器可以通過Redis實例共享黑名單；
3、動態配置，可以手工或者通過某種自動化的方式設置 Redis 中的黑名單。

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/40343.html

基于 Nginx 的動態代理

摘要：目前最常用的軟件反向代理服務器有和。基于實現動態代理為了實現動態代理方案，需要在反向代理服務器中增加定制的功能。同時，由于反向代理服務器需要處理大量的代理請求，因此會頻繁的讀取反向代理配置數據。基于 Nginx 的動態代理作者：趙波日期：2016 年 8 月 4 日在實際應用中，遇到了這樣一個場景：已有一個手機 APP 客戶端，需要在該 APP 客戶端中實現通過 Web 的形式...

wean 2019-07-25 13:47 評論0 收藏0
Nginx流量攔截算法

摘要：自身有的請求限制模塊流量限制模塊基于令牌桶算法，可以方便的控制令牌速率，自定義調節限流，就能很好的限制請求數量，然而，問題還是在于無法熱加載。漏桶算法可以很好地限制容量池的大小，從而防止流量暴增。這也是對流量攔截的算法，針對做流量監測。 showImg(http://77l5jp.com1.z0.glb.clouddn.com/blog/logo-nginx-lua.png); 0x0...

fuchenxuan 2019-07-25 13:33 評論0 收藏0
Mac下使用ABTestingGateway快速搭建灰度網關

摘要：下使用快速搭建灰度網關簡介是新浪開源的一個可以動態設置分流策略的灰度發布系統，工作在層，基于和開發，使用作為分流策略數據庫，可以實現動態調度功能。目前在京東如實時價格秒殺動態服務單品頁列表頁等都在使用架構，其他公司如淘寶去哪兒網等。 Mac下使用ABTestingGateway快速搭建灰度網關 ABTestingGateway簡介 ABTestingGateway 是新浪開源的一個可以...

2bdenny 2019-07-25 14:22 評論0 收藏0