如何利用Nginx防止IP地址被恶意解析详解

2024-10-31 06:12:36

使用Nginx的目的

使用阿里云ECS云服务器，首先聊聊笔者使用Nginx的背景。

初始化ECS后会生成一个公网IP，默认访问IP地址自动访问80端口，此时通过ip地址可直接访问启动在80端口的服务。

如再把域名解析到当前ip，即可通过域名直接访问80端口的服务。

然后，出现了一个问题：任何人都可以将域名解析到ip地址，也就是说，通过其他域名也可以访问到自己ECS上的服务。至于目的，这种攻击手段未免太光明正大了，应该是想养域名然后售卖（猜测，脑洞够大的大大交流一下）。

避免这种攻击的方式有很多种，参考网上的答案，配置Nginx是最方便快捷的。

大致思路如下，web端服务以非80端口启动（无法直接通过IP地址访问到）,Nginx配置一层正向代理，将域名转发到域名+端口。

结果：解析后使用自己的域名可以直接访问，本质上是转发到了ip地址+端口。而其他域名没有配置端口转发，所以会被拦截下来。

使用Nginx的场景有很多，反向代理，负载均衡等等，防止恶意解析只是其中一种。

也许未来或扩展更多Nginx相关的技术经验，但是代码只是一种工具，技术只有在解决了真正的问题才会产生价值，不然就如同纸上谈兵，毫无意义。

之前看到过一篇文章，讲的是两个开发者在讨论技术选择，其中一个人选择了冷门的Lua，另一个人表示不解，为什么不选择热门的技术，更好的性能，更好的开发体验。然而，她的回答是：能解决我们的问题就行了。

我陷入了深思，2019掀起的微服务架构浪潮我也跟了一把，学习了很多新的技术，名词，感觉盆满钵满。然而很难有机会将其运用到实际的项目开发中，高并发，微服务到底是一种技术，还是一种炫耀的资本，解决的是项目中的实际问题还是就业问题。学习无罪，但在学习前我会思考，我会使用它，还是被它所束缚。

就哔哔这么多，以下是在Linux环境下Nginx的常用命令和我复制下来的配置文件（nginx.conf）

常用命令列表

yum install nginx  //安装nginx（centos）

//开机自启
systemctl enable nginx
systemctl disable nginx

//查看nginx状态
systemctl status nginx

//启动，停止，重启
systemctl start nginx
systemctl stop nginx
systemctl restart nginx

//重新加载配置
systemctl reload nginx

//配置文件的默认位置
/etc/nginx 主配置文件nginx.conf

防止恶意解析配置

 server {
      listen    80 default_server;
      server_name _;
      access_log  off;
      return    444;
    }

# For more information on configuration, see:
#  * Official English Documentation: http://nginx.org/en/docs/
#  * Official Russian Documentation: http://nginx.org/ru/docs/

user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log;
pid /run/nginx.pid;

# Load dynamic modules. See /usr/share/doc/nginx/README.dynamic.
include /usr/share/nginx/modules/*.conf;

events {
  worker_connections 1024;
}

http {
  log_format main '$remote_addr - $remote_user [$time_local] "$request" '
           '$status $body_bytes_sent "$http_referer" '
           '"$http_user_agent" "$http_x_forwarded_for"';

  access_log /var/log/nginx/access.log main;

  sendfile      on;
  tcp_nopush     on;
  tcp_nodelay     on;
  keepalive_timeout  65;
  types_hash_max_size 2048;

  include       /etc/nginx/mime.types;
  default_type    application/octet-stream;

  # Load modular configuration files from the /etc/nginx/conf.d directory.
  # See http://nginx.org/en/docs/ngx_core_module.html#include
  # for more information.
  include /etc/nginx/conf.d/*.conf;
    server {
      listen    80 default_server;
      server_name _;
      access_log  off;
      return    444;
    }
  server {
    listen    80;
    server_name www.zkrun.top;
    location / {
        proxy_pass http://www.zkrun.top:8080;
    }

    error_page 404 /404.html;
      location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
      location = /50x.html {
    }
  }

# Settings for a TLS enabled server.
#
#  server {
#    listen    443 ssl http2 default_server;
#    listen    [::]:443 ssl http2 default_server;
#    server_name _;
#    root     /usr/share/nginx/html;
#
#    ssl_certificate "/etc/pki/nginx/server.crt";
#    ssl_certificate_key "/etc/pki/nginx/private/server.key";
#    ssl_session_cache shared:SSL:1m;
#    ssl_session_timeout 10m;
#    ssl_ciphers HIGH:!aNULL:!MD5;
#    ssl_prefer_server_ciphers on;
#
#    # Load configuration files for the default server block.
#    include /etc/nginx/default.d/*.conf;
#
#    location / {
#    }
#
#    error_page 404 /404.html;
#      location = /40x.html {
#    }
#
#    error_page 500 502 503 504 /50x.html;
#      location = /50x.html {
#    }
#  }
}

总结

到此这篇关于如何利用Nginx防止IP地址被恶意解析的文章就介绍到这了,更多相关Nginx防止IP地址恶意解析内容请搜索我们以前的文章或继续浏览下面的相关文章希望大家以后多多支持我们！

Nginx作为反向代理时传递客户端IP的设置方法

nginx默认配置文件里面是没有进行日志转发配置的,这个需要我们自己手动来操作了,当然后端的real server不同时操作方法是不一样的,这里我们分别例举几种情况来说明一下. nginx做前端,转发日志到后端nginx服务器: 因为架构的需要采用多级 Nginx 反向代理,但是后端的程序获取到的客户端 IP 都是前端 Nginx 的 IP,问题的根源在于后端的 Nginx 在 HTTP Header 中取客户端 IP 时没有取对正确的值. 同样适用于前端是 Squid 或者其他反向代理的情况.
Nginx服务器限制IP访问的各种情况全解析

限制某个IP同一时间段的访问次数如何设置能限制某个IP某一时间段的访问次数是一个让人头疼的问题,特别面对恶意的ddos攻击的时候.其中CC攻击(Challenge Collapsar)是DDOS(分布式拒绝服务)的一种,也是一种常见的网站攻击方法,攻击者通过代理服务器或者肉鸡向向受害主机不停地发大量数据包, 造成对方服务器资源耗尽,一直到宕机崩溃. cc攻击一般就是使用有限的ip数对服务器频繁发送数据来达到攻击的目的,nginx可以通过HttpLimitReqModul和HttpLimitZo
nginx禁止某个IP访问站点的设置方法

首先建立下面的配置文件放在nginx的conf目录下面,命名为blocksip.conf: deny 95.105.25.181; 保存一下. 在nginx的配置文件nginx.conf中加入:include blocksip.conf; 重启一下nginx的服务:/usr/local/nginx/sbin/nginx -s reload 就可以生效了. blocksip.conf:的格式还有许多种,可以配置只允许的IP访问或者IP段访问: deny IP; allow IP; # block
Nginx中禁止使用IP访问网站的配置实例

国内因为备案的原因,所有服务器都要禁止使用IP访问网站.否则,如果允许使用IP访问网站,那随便解析一个域名到该IP,访问该域名就可以打开网站了.这是一个极大的风险!Nginx中可以很方便的来解决这个问题,小菜鸟来跟大家一起探讨一下. 国内因为备案的原因,所有服务器都要禁止使用IP访问网站.否则,如果允许使用IP访问网站,那随便解析一个域名到该IP,访问该域名就可以打开网站了.这是一个极大的风险!Nginx中可以很方便的来解决这个问题,小菜鸟来跟大家一起探讨一下. 如下的配置项,可以设置允许使用I
在Nginx服务器上屏蔽IP的一些基本配置方法分享

采集和防止采集是一个经久不息的话题,一方面都想搞别人的东西,另一方面不想自己的东西被别人搞走. 本文介绍如何利用nginx屏蔽ip来实现防止采集,当然也可以通过iptable来实现. 1.查找要屏蔽的ip awk '{print $1}' nginx.access.log |sort |uniq -c|sort -n nginx.access.log 为日志文件, 会到如下结果,前面是ip的访问次数,后面是ip,很明显我们需要把访问次数多的ip并且不是蜘蛛的ip屏蔽掉,本例当中我们屏蔽掉 165
nginx下gzip配置参数详解

Nginx自带的有gzip模块 http://wiki.nginx.org/NginxChsHttpGzipModule ,这个模块支持在线实时压缩输出数据流.经过良好的配置优化,可以大幅的提升网站的输出效率. __使用范例__ 复制代码代码如下: gzip on; gzip_min_length 1000; gzip_proxied expired no-cache no-store private auth; gzip_types text/plain application/xml; 内
Nginx限制IP并发数与下载速度的方法

在Nginx服务器上进行一些常规设置,来限制其并发数及会话空间等. nginx限制ip并发数,也是说限制同一个ip同时连接服务器的数量 1,添加limit_zone 这个变量只能在http使用代码示例: 复制代码代码如下: vi /usr/local/nginx/conf/nginx.conflimit_zone one $remote_addr 10m; 2,添加limit_conn 这个变量可以在http, server, location使用只限制一个站点,所以添加到server里面
Nginx 禁止IP访问只允许域名访问

我们在使用的时候会遇到很多的恶意IP攻击,这个时候就要用到Nginx 禁止IP访问了.下面我们就先看看Nginx的默认虚拟主机在用户通过IP访问,或者通过未设置的域名访问(比如有人把他自己的域名指向了你的ip)的时候生效最关键的一点是,在server的设置里面添加这一行: listen 80 default; 后面的default参数表示这个是默认虚拟主机. Nginx 禁止IP访问这个设置非常有用. 比如别人通过ip或者未知域名访问你的网站的时候,你希望禁止显示任何有效内容,可以给他返回50
使用Nginx实现根据 IP 匹配指定 URL

业务需求业务和开发同事需要我这边做一条规则,所有访问 ip 为非上海.广州 office 外网 ip,url 为http://test.com/fuck/index.html 的请求都跳转到 http://test.com/index.html .然后所有在上海和广州 office 的外网 IP 访问 http://test.com/fuck/index.html 依然还是 http://test.com/fuck/index.html.这样就可以在生产上做隔离,不影响其他用户的服务. 注:因
如何利用Nginx防止IP地址被恶意解析详解

使用Nginx的目的使用阿里云ECS云服务器,首先聊聊笔者使用Nginx的背景. 初始化ECS后会生成一个公网IP,默认访问IP地址自动访问80端口,此时通过ip地址可直接访问启动在80端口的服务. 如再把域名解析到当前ip,即可通过域名直接访问80端口的服务. 然后,出现了一个问题:任何人都可以将域名解析到ip地址,也就是说,通过其他域名也可以访问到自己ECS上的服务.至于目的,这种攻击手段未免太光明正大了,应该是想养域名然后售卖(猜测,脑洞够大的大大交流一下). 避免这种攻击的方式有很多种
SQLServer设置客户端使用IP地址登录的图文详解

一.设置SQLServer身份验证 1.按下windows+R,弹出运行框. 2.在弹出框中输入cmd,按下enter键. 3.在dos命令窗口输入compmgmt.msc命令,按下enter键. 4.在计算机管理窗口->展开服务和应用程序->展开SQLServer配置管理器->展开SQLServer网络配置->点击MSSQLSERVER的协议. 5.右键点击TCP/IP->点击启用->点击弹出框中的确定. 6.在TCP/IP弹出框->找到IP2->已启用由
利用nginx与ffmpeg搭建流媒体服务器过程详解

需求本文介绍的是利用nginx和ffmpeg搭建流媒体服务器的过程.例如这种场景:公司内部需要同时观看在线直播时,如果每个人直接观看必然给出口带宽带来压力,影响正常访问外网的同事.所以可以在内网通过nginx+ffmpeg拉一路直播流,然后内网的用户访问内网的这台流媒体服务器即可.通过nginx+ffmpeg还可以实现推流.拉流.转推甚至利用FFmpeg实时切片.视频处理等,实现一套直播服务模型. 环境系统环境:CentOS release 6.7 (Final) 步骤安装ffmpeg 安
golang如何实现抓取IP地址的蜘蛛程序详解

背景要做IP地址归属地查询,量比较大,所以想先从网上找到大部分的分配数据,写个蜘蛛程序来抓取入库,以后在程序的运行中不断进行维护.更新.完善. 一些关键点 goroutine的使用,让程序并行运行. 正则表达式分组信息提取的使用,正确的提取我们关注的信息. 数据库批量插入操作. 数据库批量更新操作. 代码解析按功能模块对核心代码进行说明 ip.go 主进程,实现goroutine的调用. func main() { //利用go基本库封装的网页抓取函数,后面有说明 ctx := common
利用Nginx反向代理解决跨域问题详解

问题在之前的分享的跨域资源共享的文章中,有提到要注意跨域时,如果要发送Cookie,Access-Control-Allow-Origin就不能设为*,必须指定明确的.与请求网页一致的域名.在此次项目开发中与他人协作中就遇到此类问题. 解决思路一般来说,与后台利用CORS跨域资源共享将Access-Control-Allow-Origin设置为访问的域名即可,这个需要后台的配合,且有些浏览器是不支持的. 基于与合作方后台的配合,利用nginx方向代理来满足浏览器的同源策略来实现跨域实现方法
Java 判断IP地址的合法性实例详解

Java 判断IP地址的合法性 0.前言有时候我们要对用户输入的IP地址进行校验,判断这个IP地址是不是一个合法的IP地址. 1.实现思路最简单的实现方法是构造一个正则表达式.判断用户的输入与正则表达式是否匹配.若匹配则是正确的IP地址,否则不是正确的IP地址.这里的难点是如何构造出一个可用的正则表达式. 2.Java实现 /** * Created by HUPENG on 2016/9/26. */ public class Tool { /** * 判断IP地址的合法性,这里采用了正则
如何利用nginx通过正则拦截指定url请求详解

nginx服务器 nginx是非常出色web服务器,对于静态文件的处理非常高效,同时它的代理转发功能和其它后台服务器搭配起来也非常的简单高效. location 我们知道nginx会对请求进行解析,然后回得到关于请求的url等信息,我们只需要对url进行匹配,然后拦截即可. 匹配规则 location / { if ($request_uri ~* ^/\?http(.*)$) { return 404; } } 经过这样的匹配,我们就可以拦截所有请求根目录的网址并且参数为?httpxxx类似的
python实现ip地址查询经纬度定位详解

1.此api已经关闭 https://api.map.baidu.com/highacciploc/v1?qcip=220.181.38.113&ak=你申请的AK&extensions=1&coord=bd09ll 2.现在改成 API首页:http://lbsyun.baidu.com/index.php?title=webapi/ip-api 使用方式:https://api.map.baidu.com/location/ip?ak=请输入您的AK&coor=bd09
centOS7 下利用iptables配置IP地址白名单的方法

编辑iptables配置文件,将文件内容更改为如下,则具备了ip地址白名单功能 #vim /etc/sysconfig/iptables *filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [0:0] -N whitelist -A whitelist -s 1.2.3.0/24 -j ACCEPT -A whitelist -s 4.5.6.7 -j ACCEPT -A INPUT -m state --state
Nginx单IP地址配置多个SSL证书的方法示例

默认情况下,Nginx一个IP地址仅支持一个SSL证书,需要多个IP地址才能配置多个SSL证书,在公网IP地址有限的情况下,可以使用TLS Server Name Indication extension(SNI, RFC 6066),它允许浏览器在SSL握手的时候发送请求的server name,也就是 Host,这样 Nginx 就能找到对应server 的SSL配置. 配置步骤如下: 1.检查Nginx是否支持TLS $ nginx -V ... TLS SNI support enabl

如何利用Nginx防止IP地址被恶意解析详解

相关推荐

随机推荐