Как запретить доступ на балансировщике до каталога на ноде?

Question

[maxsnw]

Имеется связка Балансировщик (nginx) -> две ноды.
На ноды пользователь попадает, как понятно из схемы, через балансировщик, у него свой ip который и светится в доступах на нодах.
Возникла необходимость сделать доступ к определенному каталогу для определнных ip-адресов на нодах через nginx.сonf.

Обычный loсation /catalog/ в конфиге на нодах не подходит, т.к. на ноды ходит балансировщик.

Решение вижу следующее - заблокировать доступ к каталогу на нодах на стороне балансировщика через тот же location /сatalog/.

Вопрос: как это сделать, что бы он захватывал путь, к которому обращается пользователь и фильтровал доступ на стороне балансировщика т.е. если пользователь обращается по адресу sitename.ru/catalog/ то на уровне балансировщика срабатывало условие фильтрации по ip и пользователю показывалась фига по доступам?

Comments

[Alexey Dmitriev]

nginx умеет передавать реальный ip адрес дальше.

[maxsnw]

Alexey Dmitriev, то есть реализовать доступ в конфигах на нодах? Как это сделать?

[Alexey Dmitriev]

maxsnw, в зависимости от конфигурации погуглить "nginx stream real ip" или "nginx reverse proxy real ip"

Answer 1

[Lynn «Кофеман»]

Так а в чём проблема ипользовать allow/deny?

location /catalog/ {
  allow 1.2.3.0/24; # подсеть
  allow 5.6.7.8; # ip
  deny all; # всем остальным нельзя
  proxy_pass http://node;
  ...
}

Comments

[maxsnw]

прописал данную конструкцию, deny all; отрабатывает корректно, allow не отрабатывает.

[Lynn «Кофеман»]

maxsnw, какие ваши доказательства?
Какой IP в логах nginx?
Что именно прописано в allow?

[Lynn «Кофеман»]

ЗЫ, это кофиг для nginx на балансировщике

[Lynn «Кофеман»]

maxsnw,
ну или настройте прокидывание IP с балансера на ноды
nginx.org/ru/docs/http/ngx_http_realip_module.html...

[maxsnw]

Lynn «Кофеман», на балансировщике и вносил
лог c балансера:


конфиг:

[Lynn «Кофеман»]

maxsnw, nginx перезапущен?
Вы уверены что ошибка от него, а не от node?

[maxsnw]

Lynn «Кофеман», Конечно, он же deny all; отрабатывает.

[Lynn «Кофеман»]

maxsnw, по вашему логу нельзя однозначно сказать кто вернул 403. Может это вернула ваша нода.

В общем ещё бы весь конфиг не помешал