1

В senginx есть дефолтный модуль Dynamic IP Blacklist, он позволяет вносить IP-адреса ботов или сканеров в черный список в режиме реального времени автоматически. Прекрасный функционал, но насколько я понял, он жестко завязан на других встроенных модулях, что сильно ограничивает рамки его использования.

Существует ли альтернатива, дающая более гибкие возможности срабатывания, например блокировать ip-адрес сразу при попадании "пользователя" в определенный location nginx, или при превышении заданных параметров limit_conn_zone / limit_req_zone?

Раньше на Апаче помогал костыль со скриптом записывающем адрес в .htaccess. Как сделать грамотно нечто подобное на nginx+php — ума не приложу...

1 ответ 1

2

возможно, более подходящим решением будет использовать связку из nginx и fail2ban:

  • nginx отслеживает «нарушения» и делает запись в лог-файл.

  • а fail2ban, как раз и специализирующийся на анализе логов, блокирует нарушителя.

неплохое описание этой связки и инструкция есть, например, на хабре.

8
  • fail2ban хорошее решение, но он не расчитан на режим реального времени и блокировка происходит постфактум. Также хотелось бы обойтись без iptables
    – A-off
    24 июн 2015 в 23:35
  • не знаю, какого порядка величина задержки между появлением строки в логе и реакцией fail2ban-а, но предполагаю, что где-то в районе миллисекунд (fail2ban использует inotify). конечно, если такого рода задержка критична в вашей ситуации, то fail2ban не подойдёт. но тогда не совсем понятно пренебрежение netfilter-ом, ведь обработка проходит сразу внутри linux-а, что явно быстрее передачи и обработки пакета в user-space. 24 июн 2015 в 23:50
  • Всегда думал, что fail2ban проверяет логи по крону... А нежелание использовать фаервол диктуется исключительно ограничениями конкретного vds на количество записей. В том же конфиге nginx ограничений никаких, а адресов и подсетей очень много.
    – A-off
    25 июн 2015 в 0:15
  • да. лимит на размер таблицы netfilter-а — это весьма «неспортивное» ограничение. с ходу приходят в голову два подхода: уменьшить время пребывания ip в «бане» и «банить» сразу сетевыми блоками («из коробки» такого конфига, вроде бы, нет, но модификация какого-нибудь образцового actionдовольно тривиальна). 25 июн 2015 в 0:36
  • Вроде как fail2ban может вместо iptables использовать блокировку через hosts.deny, что меня устраивает. Буду проверять.
    – A-off
    25 июн 2015 в 1:39

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.