Nginx怎么通过geo模块设置白名单
原配置：
http {...... limit_conn_zone $binary_remote_addr zone=one:10m;
limit_req_zone $binary_remote_addr zone=fifa:10m rate=5r/s;
......
server {
......
limit_conn one 5;
limit_req zone=fifa burst=100;
......
}}
白名单配置：
http {
...... geo $whiteiplist {
default 1;
127.0.0.1 0;
10.10.0.0/24 0;
}
map $whiteiplist $limit {
1 $binary_remote_addr;
0 "
"
;
}
limit_conn_zone $limit zone=one:10m;
limit_req_zone $limit zone=fifa:10m rate=5r/s;
......
server {
......
limit_conn one 5;
limit_req zone=fifa burst=100;
......
}}
说明：
geo指令定义一个白名单$whiteiplist, 默认值为1, 所有都受限制。 如果客户端ip与白名单列出的ip相匹配，则$whiteiplist值为0也就是不受限制。
map指令是将$whiteiplist值为1的，也就是受限制的ip，映射为客户端ip。将$whiteiplist值为0的，也就是白名单ip，映射为空的字符串。
limit_conn_zone和limit_req_zone指令对于键为空值的将会被忽略，从而实现对于列出来的ip不做限制。
Nginx是一款高性能的Web服务器和反向代理服务器，支持多种模块扩展，其中geo模块可以用来设置IP地址和网段的匹配规则，从而实现一些IP白名单、黑名单、负载均衡等功能。本文将介绍如何使用Nginx的geo模块来设置白名单，保护Web应用程序的安全。
一、安装并启用geo模块
geo模块是Nginx的内置模块之一，因此无需额外安装即可使用。但需要在编译Nginx时加入--with-http_geoip_module选项，才能启用该模块。此外，还需要配置GeoIP2数据库文件，以便Nginx可以根据IP地址来判断其所属的地理位置。你可以从MaxMind公司的官网下载GeoIP2数据库文件，也可以使用其他厂商的IP地址库，如阿里云的IP地址库。
安装完毕后，在nginx.conf文件中添加如下配置代码：
```
http {
geoip2 /path/to/GeoLite2-City.mmdb {
$geoip_city_name city names en;
$geoip_country_code country iso_code;
$geoip_region_name region name en;
}
}
```
这段代码中，$geoip_city_name、$geoip_country_code和$geoip_region_name等变量则可以用于获取客户端IP地址对应的城市、地区或国家/地区代码。我们可以根据这些变量来设置白名单规则，只允许某些地区或国家/地区的IP地址访问Web应用程序。
二、设置geo模块的匹配规则
在Nginx的location或server块中，你可以使用if语句来匹配geo模块的变量。例如，以下配置代码将只允许来自中国大陆、台湾、香港和澳门的IP地址访问该Web应用程序：
```
server {
listen 80;
server_name example.com;
if ($geoip_country_code != CN) {
return 403;
}
if ($geoip_region_name !~ ^(Hong Kong|Macau|Taiwan)$) {
return 403;
}
location / {
#...
}
}
```
这个配置中，我们首先使用if语句判断IP地址是否属于中国大陆，如果不是则返回403错误码。然后，再次使用if语句判断IP地址是否属于香港、澳门或台湾，如果不是，则同样返回403错误码。
三、优化geo模块的性能
尽管geo模块可以实现IP地址的匹配功能，但它的性能并不如hash表和radix树等数据结构高效。因此，在设置大规模的IP白名单时，需要注意以下几点：
1. 缓存GeoIP2数据库文件，避免每次请求都重新读取。可以使用Nginx自带的proxy_cache或fastcgi_cache模块来实现。
2. 避免使用if语句嵌套，以免影响服务器的响应速度。也可以使用map和split等内置函数，将匹配规则转换为更具可读性和高效性的代码。
3. 将geo模块的匹配规则应用到location或server级别，可以避免在每个请求中都执行匹配规则。这样不仅可以提高性能，还可以降低误判率。
总结
通过本文的介绍，你已经知道如何使用Nginx的geo模块来设置IP地址的白名单规则，以保护Web应用程序的安全。需要注意的是，白名单规则和黑名单规则都是相对的，具体的设置应该根据实际情况来决定，避免设置过于宽松或过于严格，影响正常的业务运营。
