目前合理的需求如下:
- 公司网络地址段可以访问开发环境不受限制
- 允许部分第三方IP地址段加入白名单
- 若第三方IP不固定,需支持第三方回调的URL加入白名单
- 不在上述条件内全部禁止外网访问。
面对上述简单的需求场景,我们如何实现呢?
方案一:采用防火墙白名单策略进行实现,目前看只能实现 1 和 2 的条件
方案二:采用Nginx的allow、deny等策略,目前看也只能实现 1 和 2 的条件
方案三:采用Nginx+Lua 通过access_by_lua_file策略,目前看能实现上述所有条件而且实现起来比较简单,改造成本较小。
- 在Nginx的server层配置:access_by_lua_file 'scripts/filter_white.lua'
- filter_white.lua 脚本配置信息:
- root@develop:/usr/local/nginx/scripts# cat filter_white.lua
- -- 默认配置
- local redis = require 'resty.redis'
- local allow = false
-
- -- 连接Redis
- local red = redis:new()
- local ok, err = red:connect('172.17.173.183', 26379)
- if not ok then
- ngx.log(ngx.ERR, 'connect to redis failed: ' .. err)
- end
-
- local res, err = red:auth('Huajianghu@123')
- if not res then
- ngx.log(ngx.ERR, 'failed to authenticate: ' .. err)
- end
-
- -- 过滤精确IP
- --if red:sismember('white:dev:ip', ngx.var.remote_addr) == 1 then
- -- allow = true
- --end
-
- -- 过滤IP地址段
- local iputils = require("resty.iputils")
- iputils.enable_lrucache()
- local white_ips =red:smembers('white:dev:ip')
- local whitelist = iputils.parse_cidrs(white_ips)
- if iputils.ip_in_cidrs(ngx.var.remote_addr, whitelist) then
- allow = true
- end
-
- -- 过滤URL
- if not allow then
- local url = ngx.var.http_host .. ngx.var.uri
- local white_urls = red:smembers('white:dev:url')
- for index, white_url in ipairs(white_urls) do
- if url:match(white_url) then
- allow = true
- break
- end
- end
- end
-
- -- 默认策略
- if not allow then
- ngx.log(ngx.ERR, "not allow: " .. ngx.var.http_host .. ngx.var.uri)
- ngx.status = ngx.HTTP_FORBIDDEN
- ngx.say('请申请白名单')
- ngx.exit(200)
- end
此脚本仅供参考使用,特殊场景需要进行修改lua脚本。