nginx网站在使用cdn后，用户访问就变成了“浏览器 --> DNS解析 --> CDN节点 --> WEB数据处理 --> 浏览器展示”这种形式。对于web服务器nginx来说，直连过来的IP就都是cdn，所以前几篇使用iptables的防御方法就已经不适用这种场景。那么如果碰到大规模的攻击，首先需要获取到攻击用户的真实IP，然互再自动禁止。

一、获取真实IP

在nginx的http模块中添加如下内容。

获取用户真实IP，并赋值给变量$clientRealIP

map $http_x_forwarded_for $clientRealIp {

    ""      $remote_addr;
    ~^(?P<firstAddr>[0-9\.]+),?.*$  $firstAddr;

}
$clientRealIP 就是用户真实IP。

二、Nginx禁止控制

获取到用户的真实IP后，我们可以使用nginx的deny或者return指令最指定IP做禁止访问的控制。

可以使用张戈博主写的脚本，内容如下：

!/bin/bash

Deny Real IP for Nginx; Author: Jager mailto:ge@zhangge.net

For more information please visit https://zhangge.net/5096.html

-----------------------------------------------------------------

Copyright ©2016 zhangge.net. All rights reserved.

NGINX_BIN=/usr/local/nginx/sbin/nginx
DENY_CONF=/usr/local/nginx/conf/deny_ip.conf

COLOR_RED=$( echo -e "\e[31;49m" )
COLOR_GREEN=$( echo -e "\e[32;49m" )
COLOR_RESET=$( echo -e "\e[0m" )

rep_info() { echo;echo -e "${COLOR_GREEN}$*${COLOR_RESET}";echo; }
rep_error(){ echo;echo -e "${COLOR_RED}$*${COLOR_RESET}";echo;exit 1; }

show_help()
{
printf "

Deny Real IP for Nginx; Author: Jager mailto:ge@zhangge.net

For more information please visit https://zhangge.net/5096.html

-----------------------------------------------------------------

Copyright ©2016 zhangge.net. All rights reserved.

Usage: $0 [OPTIONS]

OPTIONS:
-h | --help : Show help of this script
-a | --add : Add a deny ip to nginx, for example: ./$0 -a 192.168.1.1
-c | --create : Create deny config file($DENY_CONF) for Nginx
-d | --del : Delete a ip from deny list, for example: ./$0 -d 192.168.1.1
-s | --show : Show current deny list

"
}

reload_nginx()
{
$NGINX_BIN -t >/dev/null 2>&1 && \
$NGINX_BIN -s reload && \
return 0
}

show_list()
{
awk -F '["){|]' '/if/ {for(i=2;i<=NF;i++) if ($i!="") printf $i"\n"}' $DENY_CONF
}

pre_check()
{
test -f $NGINX_BIN || rep_error "$NGINX_BIN not found,Plz check and edit."
test -f $DENY_CONF || rep_error "$DENY_CONF not found,Plz check and edit."
MATCH_COUNT=$(show_list | grep -w $1 | wc -l)
return $MATCH_COUNT
}

create_rule()
{
test -f $DENY_CONF && \
rep_error "$DENY_CONF already exist!."
cat >$DENY_CONF<<EOF
if ($clientRealIp ~* "8.8.8.8") {
#add_header Content-Type text/plain;
#echo "son of a bitch,you mother fucker,go fuck yourself!";
return 403;
break;
}
EOF
test -f $DENY_CONF && \
rep_info "$DENY_CONF create success!" && \
cat $DENY_CONF && \
exit 0

rep_error "$DENY_CONF create failed!" && \
exit 1

}

add_ip()
{
pre_check $1
if [[ $? -eq 0 ]];then
sed -i "s/\")/|$1&/g" $DENY_CONF && \
reload_nginx && \
rep_info "add $1 to deny_list success." || \
rep_error "add $1 to deny_list failed."
else
rep_error "$1 has been in deny list!"
exit
fi
}

del_ip()
{
pre_check $1
if [[ $? -ne 0 ]];then
sed -ie "s/(|$1\|$1|)//g" $DENY_CONF && \
reload_nginx && \
rep_info "del $1 from deny_list success." || \
rep_error "del $1 from deny_list failed."
else
rep_error "$1 not found in deny list!"
exit
fi
}

case $1 in
"-s"|"--show" )
show_list
exit
;;
"-h"|"--help" )
show_help
exit
;;
"-c"|"--create" )
create_rule
;;
esac

while [ $2 ];do
case $1 in
"-a"|"--add" )
add_ip $2;
;;
"-d"|"--del" )
del_ip $2
;;

)
show_help
;;
esac
exit

done
show_help
使用方法：
1、根据实际情况修改第9、10行 Nginx 二进制文件及其deny配置文件路径
2、然后将此脚本保存为 deny_ctrl.sh 上传到服务器任意目录，比如放到 /root
3、给脚本赋予可执行权限：chmod +x deny_ctrl.sh 即可使用

初次使用，先执行 ./deny_ctrl.sh -c 创建一下 Nginx 相关配置文件，完成后会生成/usr/local/nginx/conf/deny_ip.conf文件。

生成这个文件之后，编辑网站对应的配置文件，比如 www.sijitao.net.conf，在 server {} 模块内部插入 include deny_ip.conf; 即可。

脚本常用命令如下：

添加禁止IP

/root/deny_ctrl.sh -a 1.2.3.4

删除禁止IP

/root/deny_ctrl.sh -d 1.2.3.4
三、集成Fail2ban

到这里我们已经可以手动把某些IP禁止了，如何自动禁止删除IP博主推荐使用fail2ban。fail2ban的安装和部署规则可以参考之前的几篇文章。接下来以这篇文章 “使用Fail2ban禁止垃圾采集爬虫，保护Nginx服务器。”为例，对加cdn的nginx做禁止配置。

1、创建nginx-deny动作

vi /etc/fail2ban/action.d/nginx-deny.conf

内容如下

[Definition]

actionstart =

actionstop =

actioncheck =

actionban = /root/deny_ctrl.sh -a

actionunban = /root/deny_ctrl.sh -d

[Init]
2、创建filter规则

和上面那篇文章一样，filter规则类似如下。

vi /etc/fail2ban/filter.d/nginx-badbots.conf

内容如下

[Definition]

badbotscustom = EmailCollector|WebEMailExtrac|TrackBack/1.02|sogou music spider

failregex = ^. -."(GET|POST|HEAD).HTTP." \d+ \d+ ".*" "(?:%(badbots)s|%(badbotscustom)s)" "(-|)"$

ignoreregex =
3、创建jail规则

这里我还是在iptables把这些IP禁止了，所以配置了两个。

vi /etc/fail2ban/jail.d/nginx.local

内容如下

[nginx-badbots]

enabled = true
port = http,https
filter = nginx-badbots
logpath = /var/logs/nginx/www.sijitao.net.log
maxretry = 3

[nginx-deny]

enabled = true
filter = nginx-badbots
action = nginx-deny
logpath = /var/logs/nginx/www.sijitao.net.log
maxretry = 3
4、重启fail2ban

总结下，在nginx上使用deny规则可以减少服务器上的压力，但是日志和连接还是会有。所以更加好的办法是使用有ban规则和api接口的cdn厂商，这样再结合fail2ban的action规则就可以从源头上禁止了。

IMYFAN

Nginx网站使用CDN获取攻击用户真实IP和fail2ban自动禁止的方法

获取用户真实IP，并赋值给变量$clientRealIP

!/bin/bash

Deny Real IP for Nginx; Author: Jager mailto:ge@zhangge.net

For more information please visit https://zhangge.net/5096.html

-----------------------------------------------------------------

Copyright ©2016 zhangge.net. All rights reserved.

Deny Real IP for Nginx; Author: Jager mailto:ge@zhangge.net

For more information please visit https://zhangge.net/5096.html

-----------------------------------------------------------------

Copyright ©2016 zhangge.net. All rights reserved.

添加禁止IP

删除禁止IP

vi /etc/fail2ban/action.d/nginx-deny.conf

内容如下

vi /etc/fail2ban/filter.d/nginx-badbots.conf

内容如下

vi /etc/fail2ban/jail.d/nginx.local

内容如下