Как правильно создать белый список доступа для определенного url в nginx?

Question

[Илья Петров]

Как правильно задать белый доступ по IP для url:
/graphql
/graphql?query={additionalSiteOptions{fields{instagram,email,whatsapp}}}
и другие страницы /graphql с GET-параметрами

Доступ нужен для:
– localhost сервера
– моего компа по IP

Пробовал так — с моего IP выдает ошибку 404, для остальных 403

location /graphql {
	# локальный
	allow 192.168.1.0/24;
	
	# ip v4 сервера
	allow 188.225.XX.XX/24;

	# мой IP
	allow 78.XX.XX.XX/24;

	deny all;
}

Comments

[dodo512]

Адрес /graphql в итоге должен перенаправляться на какой-то PHP скрипт?

[Илья Петров]

dodo512, перенаправления нет.
Планирую просто 403 выдавать, если IP не тот

[IvanU7n]

Илья Петров, имеется ввиду, что обрабатывает эти запросы, скорее всего нужно это также прописать и в этом location

[Илья Петров]

IvanU7n, на сервере стоит WordPress. GraphQL установлен как плагин ( WPGraphQL ).
url — /graphql
скрипты обрабатывает index.php в корне сайта, но это не конечный обработчик, т.к. используется MVC паттерн

[dodo512]

Илья Петров, если страницу по адресу /graphql генерировал /index.php, то в этом location прописать rewrite и fastcgi_pass.

location /graphql {
	# локальный
	allow 192.168.1.0/24;
	
	# ip v4 сервера
	allow 188.225.XX.XX/24;

	# мой IP
	allow 78.XX.XX.XX/24;

	deny all;

	rewrite ^ /index.php break;
    
	fastcgi_pass ...;
	include fastcgi.conf;
}

[Илья Петров]

dodo512, выложу полный конфиг сервера

server {
    root /var/www/html/wordpress;
    index  index.php index.html index.htm;
    server_name URL_САЙТА;
    
    client_max_body_size 500M;

    location / {
        try_files $uri $uri/ /index.php?$args;
    }
	
    location = /favicon.ico {
        log_not_found off;
        access_log off;
    }

    location ~* .(jpg|jpeg|gif|png|css|zip|tgz|gz|rar|bz2|doc|docx|xls|xlsx|exe|pdf|ppt|tar|wav|bmp|rtf|js|svg|svgz)$ {
        expires max;
        log_not_found off;
    }	

    location = /robots.txt {
        allow all;
        log_not_found off;
        access_log off;
    }

	location /phpmyadmin {
		alias /usr/share/phpmyadmin/;

		location ~ \.php$ {
			fastcgi_pass unix:/run/php/php8.1-fpm.sock;
			fastcgi_index index.php;
			fastcgi_param SCRIPT_FILENAME $request_filename;
			include fastcgi_params;
			fastcgi_ignore_client_abort off;
		}

		location ~* \.(js|css|png|jpg|jpeg|gif|ico)$ {
			access_log    off;
			log_not_found    off;
			expires 1M;
		}
	}

    location ~ .php$ {
         include snippets/fastcgi-php.conf;
         fastcgi_pass unix:/var/run/php/php8.1-fpm.sock;
         fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
         include fastcgi_params;
    }
}

[dodo512]

Илья Петров, файл snippets/fastcgi-php.conf подключает fastcgi.conf в котором есть всё тоже самое что и в fastcgi_params плюс

fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

Так что в конфиге достаточно одной строчки include snippets/fastcgi-php.conf;

location /graphql {
	# локальный
	allow 192.168.1.0/24;
	
	# ip v4 сервера
	allow 188.225.XX.XX/24;

	# мой IP
	allow 78.XX.XX.XX/24;

	deny all;

    rewrite ^ /index.php break;
    
    fastcgi_pass unix:/var/run/php/php8.1-fpm.sock;
    include snippets/fastcgi-php.conf;
}