openresty加lua脚本实现在nginx层的ip拦截
问题描述：
在项目中碰到用户刷注册接口，骗取注册成功后的一些列奖励。
达到的要求：
于是安全这边想要对用户的IP做一个过滤，做一套黑名单与白名单过滤，同时限制用户在1分钟内注册的次数。
使用的方案：
决定采用openresty加lua脚本，在nginx层面对用户ip做拦截过滤。
具体实施方案：
原理图：
黑白名单查询逻辑：
环境搭建：
|
总述 |
操作名称 |
具体操作 |
|
搭建openresty |
1、下载openresty |
下载地址：http://openresty.org/cn/download.html （这里使用openresty-1.13.6.2.tar.gz） |
|
2、解压openresty |
将下载的openresty-1.13.6.2.tar.gz包上传到服务器的/apps/svr路径下，并解压tar –xzvf openresty-1.13.6.2.tar.gz |
|
|
3、修改openresty的默认配置信息 |
cd /apps/svr/openresty-1.13.6.2目录下，输入命令： ./configure --prefix=/apps/svr/openresty （这里只简单改了下路径） |
|
|
4、编译 |
gmake （有的服务器命令是make） |
|
|
5、安装 |
gmake install （/apps/svr/目录下出现openresty文件夹即表示安装成功） |
|
|
6、修改nginx.conf配置文件 |
cd /apps/svr/openresty/nginx/conf目录下，rm –rf nginx.conf删除原有的nginx.conf配置文件。接着将已有的配置文件复制过来。 cp /apps/svr/nginx-1.9.12/conf/nginx.conf /apps/svr/openresty/nginx/conf/ |
|
|
7、新建lua脚本文件 |
在/apps/svr/openresty/nginx/目录下输入命令mkdir thirdlua新建thirdlua，并在thirdlua中新建lua文件operateip.lua文件。 |
|
|
8、编写operateip.lua脚本 |
local REDIS_HOST = "127.0.0.1" local REDIS_PORT = "6379"
local REDIS_CONN_TIMEOUT = 3 local WHITEIPS_KEY = "ip_white" local BLACKIPS_KEY = "ip_black" local LIMITIPS_KEY = "ip_limit"
local ip = ngx.var.remote_addr local redis = require "resty.redis"; local red=redis:new();
function ignoreWhitelist(ip) local exists = red:exists(WHITEIPS_KEY); if tonumber(exists) == 1 then exists = red:sismember(WHITEIPS_KEY,ip); if tonumber(exists) == 1 then ngx.log(ngx.INFO," this is white ip "); return true; end end return false; end
function checkBlacklist(ip) local exists = red:exists(BLACKIPS_KEY); if tonumber(exists) == 1 then exists = red:sismember(BLACKIPS_KEY,ip); if tonumber(exists) == 1 then ngx.log(ngx.INFO," this is black ip "); return true; end end return false; end
function limitIpFrequency(ip, times) local exists = red:exists(LIMITIPS_KEY..ip); ngx.log(ngx.INFO," exists ",exists); if tonumber(exists) == 0 then red:zincrby(LIMITIPS_KEY..ip,1,ip); red:expire(LIMITIPS_KEY..ip,60); else local count = red:zscore(LIMITIPS_KEY..ip,ip); ngx.log(ngx.INFO,count); if count then if tonumber(count) > times then return true; end end red:zincrby(LIMITIPS_KEY..ip, 1,ip); end return false; end
ngx.log(ngx.DEBUG,"remote_addr is ",ip); red:set_timeout(REDIS_CONN_TIMEOUT); local ok,err = red:connect(REDIS_HOST,REDIS_PORT); if not ok then ngx.log(ngx.INFO,"redis connection error "); else local hit = false; flg = ignoreWhitelist(ip); if flg==false then flg = checkBlacklist(ip); if flg==true then return ngx.exit(ngx.HTTP_NOT_FOUND); else flg = limitIpFrequency(ip,5); if flg==true then return ngx.exit(ngx.HTTP_NOT_FOUND); end end end end
ok, err = red:set_keepalive(1000,100); if not ok then red:close(); end
|
|
|
9、上传lua脚本 |
在/apps/svr/openresty/nginx/目录下输入命令mkdir thirdlua新建thirdlua |
|
|
10、配置lua脚本 |
在/apps/svr/openresty/nginx/conf/nginx.conf文件中添加如下配置信息 location /login/login.do { proxy_pass http://ip/login/login.do; access_by_lua_file thirdlua/operateip.lua; } |
|
|
|
||
|
搭建redis |
1、下载redis |
下载地址：https://redis.io/download （这里用redis-3.2.12.tar.gz） |
|
2、解压redis包 |
将下载的redis-3.2.12.tar.gz 包上传到服务器的/apps/svr路径下，并解压tar –xzvf redis-3.2.12.tar.gz |
|
|
3、编译 |
cd /apps/svr/redis-3.2.12 输入编译命令：make |
|
|
4、启动redis |
cd /apps/svr/redis-3.2.12/src 输入./redis-server启动redis服务 |
|
|
|
||
|
运营维护 |
1、添加白名单集合 |
在redis中新建set集合ip_white用于存储白名单 |
|
2、添加黑名单集合 |
在redis中新建set集合ip_black用于存储黑名单 |
|