Как заставить nginx server отвечать только с localhost?

Question

[Cobe2]

Не могу понять как можно в конфиге nginx разрешить подключение только с адреса 127.0.0.1

Вот мой конфиг:

server {
        listen 127.0.0.1:8080;
        listen 127.0.0.1;
        allow 127.0.0.1;
        deny all;

        server_name _;

        location /status {
                stub_status;
        }
}

После применения конфига ss -tlnp показывает следующее:

LISTEN               0                    511                                        0.0.0.0:8080                                    0.0.0.0:*                   users:(("nginx",pid=56986,fd=11),("nginx",pid=56985,fd=11),("nginx",pid=55920,fd=11))

То есть сокет открыт для всех ip по порту 8080.
Хотелось бы чтобы сокет был вида 127.0.0.1:8080.

Соответственно, с других серверов в сети страничка доступна по адресу ip хоста:8080.
Можно ли это исправить конфигами nginx?

Comments

[AlexVWill]

А что мешает просто закрыть 8080 через iptables?

[Cobe2]

AlexVWill, ничего не мешает.
Я просто пытаюсь разобраться почему не работает параметр listen

[Lynn «Кофеман»]

Вангую, что у тебя там не один server

[Cobe2]

Lynn «Кофеман», для порта 8080 - только один.
Но я пробовал делать только один сервер с такой конфигурацией, это не помогло.

[Lynn «Кофеман»]

Или нужно остановить nginx и запустить заново

[Cobe2]

Lynn «Кофеман», блин, походу в этом дело было. Сейчас проверю и отпишусь.

[Cobe2]

Lynn «Кофеман», всё, спасибо.

Я просто делал systemctl reload nginx.
А нужно было systemctl restart nginx.

Когда рестартанул сервис - то всё заработало как надо.

Напши ответ под вопросом, и я могу его отметить решением, чтобы тебе карму поднять.

Answer 1

[Lynn «Кофеман»]

Не помню где именно я это прочитал, но некоторые изменения в конфиге, в частности изменения директивы listen, не применяются при «мягком рестарте» (systemctl reload nginx, nginx -s reload и т.п.).

Поэтому при внесении изменений в listen nginx нужно полностью перезапускать nginx (systemctl restart nginx и т.п.).

Answer 2

[Alexey Dmitriev]

При корректно настроенном listen 127.0.0.1:8080 nginx будет слушать порт только на внутреннем интерфейсе loopback и к нему физически не сможет прийти никто кроме 127.0.0.1.
Никакие allow здесь не нужны по факту.

Answer 3

[pfg21]

allow отрабатывается алгоритмами nginx. Ибо этих параметров может быть много и они могут сформировать сложную систему фильтрации.
А порт - да, открывается для всех.

Answer 4

[ky0]

Вам надо, чтобы запросы не доходили до nginx или чего? Прикройте фаерволлом.

Answer 5

[SVM]

с других 127.0.0.1:8080 и не может быть доступен))
возможно я что то попутал????