如何基于X-forward-for标头拒绝对资源的访问

我试图基于在X-forwarded-for标头中传递的客户端IP来限制对Nginx背后资源的访问。Nginx在Google Cloud Platform的Kubernetes集群上的容器中运行，并且实际客户端ip仅在x-forward-for标头中传递

到目前为止，我已经使用以下代码为单个IP做到了这一点：

set $allow false;
if ($http_x_forwarded_for ~* 123.233.233.123) {
    set $allow true;
}
if ($http_x_forward_for ~* 10.20.30.40) {
    set $allow false;
}
if ($allow = false) {
    return 403;
}

但是我如何才能对整个IP地址范围进行操作呢？手动指定数百个IP并没有多大意义。

感谢所有帮助

使用RealIP模块接受X-Forwarded-For标头的值。设置set_real_ip_from为反向代理的IP地址（的当前值$remote_addr）。

例如：

server {
    ...
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;
    ...
}

现在，您应该能够使用$remote_addr和allow/ deny指令使用客户端的真实IP地址。有关更多信息，请参见此文档。

理查德的答案已经包含有关如何最好地将实际IP地址获取给nginx的信息。

同时，关于指定IP范围的问题，您可以使用http://nginx.org/en/docs/http/ngx_http_geo_module.html。

该geo模块的工作原理与map模块相同，即，变量将根据IP地址的值获得分配的值。

一个例子：

geo $allow {
    default 0;
    192.168.168.0/24 1;
}

server {
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;

    if ($allow = 0) {
        return 403;
    }
}

在这里，我们分配geo映射，其默认值$allow是0。如果IP地址在subnet中192.168.168.0/24，$allow则将获得值1，并且允许请求​​。

您可以在geo块中包含任意行，以定义IP范围。

这些为我工作。

geo $remote_addr $giveaccess {
      proxy 172.0.0.0/8; <-- Private IP range here
      default 0;
      11.22.33.44 1; <-- Allowed IP here
    }


server{
##
    location ^~ /secure_url_here {
        if ($giveaccess = 0){
          return 403; 
        }
        try_files $uri $uri/ /index.php?$args; <-- Add this line specific for your CMS, if required.
    }

参考：http : //nginx.org/en/docs/http/ngx_http_geo_module.html