Дозволити лише локальним користувачам у nginx

Я хочу обмежити доступ до деяких VHosts, щоб лише 127.0.0.1 отримав доступ до нього. Я завжди використовував щось подібне, щоб прив’язати VHost до localhost, а не зовнішній IP:

server {
    listen 127.0.0.1;
    server_name myvhost.local;
    location / {
        ....
    }
}

Але я помітив, що деякі навчальні посібники також містять чіткі allowвказівки для localhost і явно заперечують всі інші:

server {
    listen 127.0.0.1;
    server_name myvhost.local;
    location / {
        allow 127.0.0.1;
        deny all;
        ...
    }
}

Чи справді ці allow/ denyдирективи потрібні, коли я вже слухаю лише в 127.0.0.1?

listenДиректива вказує операційній системі на те , що інтерфейс самого веб - сервера прив'язок. Отже, коли ви подивитесь netstat -aпісля запуску nginx, ви побачите, що nginx прослуховує лише на 127.0.0.1 IP-порт 80, це означає, що сервер nginx не може бути доступний через будь-який інший інтерфейс.

Прив’язка до конкретної IP-адреси працює на нижчому рівні фактичного мережевого стеку, ніж директиви allow/ denyдирективи всередині конфігурації nginx.

Це означає, що вам не потрібні окремі allow/ denyдирективи всередині вашої конфігурації з вашим випадком використання, оскільки з'єднання обмежені нижче в мережевому стеку.

Якщо ви вказуєте listen 80;лише та використовуєте allow/ denyдирективи, то nginx надішле клієнту код помилки HTTP, повідомляючи, що доступ заборонено.

У цьому listen 127.0.0.1;випадку браузер взагалі не може підключитися до сервера, оскільки для нього не відкрито порт TCP.

Скажімо, ваш ідентифікатор мережі - 192.168.1.0відредагуйте конф-файл так:

location / {
  # block one workstation
  deny    192.168.1.1;
  # allow anyone in 192.168.1.0/24
  allow   192.168.1.0/24;
  # drop rest of the world
  deny    all;
}

Будь ласка, дайте мені знати, як це працює для вас.

Редагувати №1:

Так, згідно з офіційною вікі-службою Nginx необхідна директива дозволу . Їх приклад:

location / {
    allow 192.168.1.1/24;
    allow 127.0.0.1;
    deny 192.168.1.2;
    deny all;
}

Я хотів досягти такої ж функціональності (дозволити лише локальним користувачам у nginx), і я зрозумів, що я можу зробити щось просте, як це:

server {
    listen 127.0.0.1:80;

    index index.html index.htm index.nginx-debian.html;

    location = /favicon.ico { access_log off; log_not_found off; }

    location /static/ {
        root /path/to/folder;
    }       

    location / {
        include proxy_params;
    }
}

Цей файл конфігурації працює добре для мене, я не використовую жодної allowдирективи, але тільки 127.0.0.1:80, і завдяки цьому я можу обмежити доступ nginx лише для місцевих користувачів!