X-forwarded-forヘッダーに基づいてリソースへのアクセスを拒否する方法

X-forwarded-forヘッダーで渡されたクライアントIPに基づいて、Nginxの背後にあるリソースへのアクセスを制限しようとしています。NginxはGoogle Cloud Platform上のKubernetesクラスター上のコンテナーで実行されており、実際のクライアントIPはx-forwarded-forヘッダーのみで渡されます

これまでのところ、次のコードを使用して1つのIPに対してそれを行うことができました。

set $allow false;
if ($http_x_forwarded_for ~* 123.233.233.123) {
    set $allow true;
}
if ($http_x_forward_for ~* 10.20.30.40) {
    set $allow false;
}
if ($allow = false) {
    return 403;
}

しかし、IPの全範囲に対してこれを行うにはどうすればよいですか？数百のIPを手動で指定するのはあまり意味がありません。

すべての助けに感謝します

RealIPモジュールを使用して、X-Forwarded-Forヘッダーの値を尊重します。設定するset_real_ip_fromリバースプロキシ（現在の値のIPアドレスに$remote_addr）。

例えば：

server {
    ...
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;
    ...
}

これで、使用することができるはず$remote_addrとallow/ denyクライアントの本当のIPアドレスを使用してディレクティブ。詳細については、このドキュメントを参照してください。

リチャードの回答には、実際のIPアドレスをnginxに最適に取得する方法に関する情報がすでに含まれていました。

一方、IP範囲を指定する際に問題になるのは、http://nginx.org/en/docs/http/ngx_http_geo_module.htmlを使用することです。

geoモジュールは次のように動作しmap、変数はIPアドレスの値に応じて値が割り当てられますされるモジュール。

例：

geo $allow {
    default 0;
    192.168.168.0/24 1;
}

server {
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;

    if ($allow = 0) {
        return 403;
    }
}

ここで、geoマップを割り当てます。デフォルト値$allowは0 です。IPアドレスがsubnetにある場合192.168.168.0/24、$allow値1が取得され、リクエストが許可されます。

geoIP範囲を定義するのに必要な数の行をブロックに含めることができます。

これらは私のために働いてくれました。

geo $remote_addr $giveaccess {
      proxy 172.0.0.0/8; <-- Private IP range here
      default 0;
      11.22.33.44 1; <-- Allowed IP here
    }


server{
##
    location ^~ /secure_url_here {
        if ($giveaccess = 0){
          return 403; 
        }
        try_files $uri $uri/ /index.php?$args; <-- Add this line specific for your CMS, if required.
    }

参照：http : //nginx.org/en/docs/http/ngx_http_geo_module.html