如何限制只允许内网访问Nginx服务器

在网络服务器配置中，有时候需要限制只允许内网的机器访问，以增加安全性。这是一个常见的需求，特别是当你希望将某个服务或网站仅对公司内部或特定网络段的用户开放时。本教程将介绍如何配置Nginx服务器，以实现只允许内网访问的目标。

1. 配置Nginx服务器

首先，假设你已经有一个Nginx服务器，它监听了某个域名（例如：status.example.com）的HTTP请求，并将这些请求代理到后端的某个服务。以下是一个简单的Nginx配置示例：

server {
    listen 80;
    server_name status.example.com;
    charset utf-8;

    location / {
        proxy_pass http://192.168.1.167:3001;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Host $host;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
        root /usr/share/nginx/html;
    }
}

这个配置允许任何IP地址访问status.example.com，但我们希望将其限制为只允许内网访问。

2. 限制只允许内网访问

要实现只允许内网访问的目标，我们需要在Nginx配置中添加一些规则。以下是一种常见的方法：

server {
    listen 80;
    server_name status.example.com;
    charset utf-8;

    # 优先允许内网中的特定IP地址
    allow 192.168.0.199; # 或者你想要允许的内网IP地址

    # 接着允许特定网段的IP范围访问
    allow 192.168.0.0/23;

    # 最后拒绝所有其他IP地址
    deny all;

    location / {
        proxy_pass http://192.168.1.167:3001;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Host $host;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
        root /usr/share/nginx/html;
    }
}

在这个配置中，我们首先使用allow指令允许特定的IP地址和IP范围，这些IP地址和IP范围被认为是内网的。然后，我们使用deny all指令拒绝所有其他IP地址的访问。这确保了只有在允许列表中的IP才能访问服务器，其他IP将被拒绝访问。

3. 验证配置

在完成配置后，需要验证是否只允许内网访问。你可以使用以下方法进行验证：

• 使用内网机器尝试访问status.example.com，确保它可以正常访问。
• 使用外网机器尝试访问status.example.com，确保它被拒绝访问并返回403错误。

结论

通过配置Nginx服务器，你可以限制只允许内网访问，增加了网络安全性，确保你的服务或网站只对内部用户开放。这是一个重要的安全措施，特别是对于需要内部访问权限的应用程序或服务。