2

нужно ограничить доступ к сайту с определенных стран при помощи nginx и GeoIP модуля

дело в том, что мы работаем с платформой и nginx там уже настроен из коробки, но блокировать можно только лишь встроенными средствами платформы и лишь отдельные части сайта. хотелось бы как-то централизованно сделать.

используем убунту 12.04, может есть какие-нибудь другие способы программной блокировки доступа?

1

1 ответ 1

2

У вас уже задана переменная geoip_country? Она задаётся в блоке http и указывает путь к файлу - базе данных GeoIP. Если это уже настроили, то можете использовать переменные $geoip_country_code и $geoip_country_code которые возвращают двух и трёхбуквенные коды стран. Далее будет удобно использовать директиву map, в том же блоке http, примерно таки образом:

map $geoip_country_code $you_shall_not_pass {
   default yes;
   RU no;
   BY no;
   KZ no;
}

В данном варианте если переменная $geoip_country_code имеет значения RU, BY, KZ, то переменная $you_shall_not_pass примет значение no. Во всех остальных случаях - yes.

Теперь в блоке server нужного сайта можно написать в определённом location такое ограничение:

if ($you_shall_not_pass = yes) {
  return 444;
}

Т. е. если переменная $you_shall_not_pass имеет значение yes, т. е. код странны не относится к разрешённым и запрос не должен пройти, то он... не проходит. Как поменять конфигурацию для варианта если по-умолчанию нужно разрешение, а запрет - для перечисленных стран, объяснять, полагаю, не нужно.

6
  • если я правильно понял, то в конфиге мне нужно создать location / и добавить туда условие if?
    – Danylo
    26 сен 2016 в 19:09
  • @ДаниилГетьманцев зависит от того, какую именно часть сайта вы хотите закрыть. Весь, или, например, только админку... Если весь, то да - это должно быть в location /.
    – МАН69К
    27 сен 2016 в 4:44
  • странно, при попытке инициализации переменной в nginx.conf бьет ошибку и ссылается на unknown directive $geoip_country, я так понимаю, что это свидетельствует о том, что модуль не подключен. nginx -V показывает, что в модуль --with-http_geoip_module=dynamic установлен. Не могу понять, в чем может быть затык. Могут ли права доступа (www-data, 755) к файлу GeoIP.dat каким-то образом повлиять на процесс инициализации переменной?
    – Danylo
    27 сен 2016 в 14:22
  • файл попросту не считывается и сравнение по стране не происходит..
    – Danylo
    27 сен 2016 в 14:24
  • 1
    @ДаниилГетьманцев: загрузите динамический модуль такой командой: load_module "modules/ngx_http_geoip_module.so";. Это делается в блоке main. serverfault.com/questions/797850/…
    – МАН69К
    28 сен 2016 в 8:49

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.