Как заблокировать файлы через Ngnix прокси?

Question

[Saha707]

Суть такова есть 2 сервера один заходит на второй и отображает сайт через прокси. Что нужно?
Нужно заблокировать доступ к файлу чтобы доступ был только через site.ru/load.php?path=brain.png а на ссылку site.ru/files/brain.png чтобы отдавало ошибку 444 . Или другой вариант чтобы был доступ только для поисковиков через Referer. Кто знает как устроить это через прокси что где нужно прописать?

Answer 1

[Araik]

Если файлы лежать в одном каталоге, то можно просто запретить доступ к каталогу:

location ^~ /files/ {
deny all;
return 444;
}

Вот еще полезная ссылка https://habr.com/ru/post/151795/

Answer 2

[Saha707]

И если закрою полностью каталог то как тогда отдавать файл?
И как правильно заблокировать доступ через прокси сервер для Referer?
А если в разных каталогах /files/ /photo/ /video/
Еще такая ошибка при редиректе
2019/10/14 22:34:04 [error] 10384#10384: *457 open() "/etc/nginx/htmlsite.ru/files/brain.png" failed (2: No such file or directory), client: 15.24.571.95, server: site.ru, request: "GET /load.php?path=brain.png HTTP/1.0", upstream: "45.65.233.99:8080/load.php?path=brain.png", host: "site.ru", referrer: "site.ru"

header("X-Accel-Redirect: /files/".$path);

Comments

[Araik]

Выдержка из статьи ссылку на которую я скинул:

Nginx умеет отправлять файлы из коробки через специальный заголовок.

Для корректной работы нужно запретить доступ к папку напрямую через конфигурационный файл:

location /protected/ {
  internal;
  root   /some/path;
}

Пример отправки файла (файл должен находиться в директории /some/path/protected):

function file_force_download($file) {
  if (file_exists($file)) {
    header('X-Accel-Redirect: ' . $file);
    header('Content-Type: application/octet-stream');
    header('Content-Disposition: attachment; filename=' . basename($file));
    exit;
  }
}

[Saha707]

NinjaNickName, Пробовал но дает ошибку вида
019/10/14 22:34:04 [error] 10384#10384: *457 open() "/etc/nginx/htmlsite.ru/files/brain.png" failed (2: No such file or directory), client: 15.24.571.95, server: site.ru, request: "GET /load.php?path=brain.png HTTP/1.0", upstream: "45.65.233.99:8080/load.php?path=brain.png", host: "site.ru", referrer: "site.ru"

[dodo512]

Saha707, как сейчас выглядит блок server.

[Saha707]

dodo512, На прокси или на 2 сервере?

[dodo512]

Saha707, на том где находятся сами файлы в каталогах /files/ /photo/ /video/

[dodo512]

open() "/etc/nginx/htmlsite.ru/files/brain.png" failed (2: No such file or directory

Saha707, эта ошибка была в логах прокси или второго сервера?

[Saha707]

dodo512,
nginx.conf Второго сервера

# Server globals
user www-data;
worker_processes auto;
worker_rlimit_nofile 65535;
timer_resolution 50ms; #In order to free some CPU cycles
error_log /var/log/nginx/error.log crit;
pid /var/run/nginx.pid;

# Worker config
events {
worker_connections 2024;
use epoll;
multi_accept on;
}

http {
# Main settings
sendfile on;
tcp_nopush on;
tcp_nodelay on;
client_header_timeout 1m;
client_body_timeout 1m;
client_header_buffer_size 2k;
client_body_buffer_size 256k;
client_max_body_size 256m;
large_client_header_buffers 4 8k;
send_timeout 30;
keepalive_timeout 60 60;
reset_timedout_connection on;
server_tokens off;
server_name_in_redirect off;
server_names_hash_max_size 512;
server_names_hash_bucket_size 512;

# Log format
log_format main '$remote_addr - $remote_user [$time_local] $request '
'"$status" $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
log_format bytes '$body_bytes_sent';
#access_log /var/log/nginx/access.log main;
access_log off;

# Mime settings
include /etc/nginx/mime.types;
default_type application/octet-stream;

# Compression
gzip on;
gzip_vary on;
gzip_comp_level 7;
gzip_min_length 512;
gzip_buffers 8 64k;
gzip_types text/plain text/css text/javascript text/js text/xml application/json application/javascript application/x-javascript application/xml application/xml+rss application/x-font-ttf image/svg+xml font/opentype;
gzip_proxied any;
gzip_disable "MSIE [1-6]\.";

# Proxy settings
proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass_header Set-Cookie;
proxy_connect_timeout 90;
proxy_send_timeout 90;
proxy_read_timeout 90;
proxy_buffers 32 4k;

# Error pages
error_page 403 /error/403.html;
error_page 404 /error/404.html;
error_page 502 503 504 /error/50x.html;

# Cache settings
proxy_cache_path /var/cache/nginx levels=2 keys_zone=cache:10m inactive=60m max_size=1024m;
proxy_cache_key "$host$request_uri $cookie_user";
proxy_temp_path /var/cache/nginx/temp;
proxy_ignore_headers Expires Cache-Control;
proxy_cache_use_stale error timeout invalid_header http_502;
proxy_cache_valid any 1d;

# Cache bypass
map $http_cookie $no_cache {
default 0;
~SESS 1;
~wordpress_logged_in 1;
}

# File cache settings
open_file_cache max=10000 inactive=30s;
open_file_cache_valid 60s;
open_file_cache_min_uses 2;
open_file_cache_errors off;

# Wildcard include
include /etc/nginx/conf.d/*.conf;
}

И ЕЩЕ есть такое панеть VESTA файл site.ru.nginx.conf
server {
listen 200.808.200.220:80;
server_name site.ru www.site.ru;
error_log /var/log/apache2/domains/site.ru.error.log error;

location / {
proxy_pass http://200.808.200.220:8080;
location ~* ^.+\.(jpeg|jpg|png|gif|bmp|ico|svg|tif|tiff|css|js|htm|html|ttf|otf|webp|woff|txt|csv|rtf|doc|docx|xls|xlsx|ppt|pptx|odf|odp|ods|odt|pdf|psd|ai|eot|eps|ps|zip|tar|tgz|gz|rar|bz2|7z|aac|m4a|mp3|mp4|ogg|wav|wma|3gp|avi|flv|m4v|mkv|mov|mpeg|mpg|wmv|exe|iso|dmg|swf)$ {
root /home/admin/web/site.ru/public_html;
access_log /var/log/apache2/domains/site.ru.log combined;
access_log /var/log/apache2/domains/site.ru.bytes bytes;
expires max;
try_files $uri @fallback;
}
}

location /error/ {
alias /home/admin/web/site.ru/document_errors/;
}

location @fallback {
proxy_pass http://200.808.200.220:8080;
}

location ~ /\.ht {return 404;}
location ~ /\.svn/ {return 404;}
location ~ /\.git/ {return 404;}
location ~ /\.hg/ {return 404;}
location ~ /\.bzr/ {return 404;}

include /home/admin/conf/web/nginx.site.ru.conf*;
}

[dodo512]

Saha707, если я правильно понял, то каталоги /files/ /photo/ /video/ находятся в /home/admin/web/site.ru/public_html
Пример для /files/

location ^~ /files/ {
    internal;
    root /home/admin/web/site.ru/public_html;
}

Этот локейшн добавить там где

server {
listen 200.808.200.220:80;
server_name site.ru www.site.ru;

Потом снова попробовать тот пример с header('X-Accel-Redirect: ' . $file);

[Saha707]

dodo512, А как отдавать файл так если допустим есть 2 домена на одном сервере VESTA site.ru и site2.ru допустим нужно из site.ru/load.php?path=bran.png дать ссылку на скачивание из site2.ru/files/bran.png и если нет файла то ошибку 404 файл 404.php допустим?
И по поводу header('X-Accel-Redirect: ' . $file); Как отдавать файл так чтобы предлагало Сохранить а не сразу шла скачка? Спасибо за ответ.

[dodo512]

header('Content-Type: application/octet-stream');
    header('Content-Disposition: attachment; filename=' . basename($file));

Saha707, чтобы предлагало сохранить должно помочь добавление этих заголовков.

А по поводу защиты ссылок на скачивание должен помочь модуль secure_link_module

[Saha707]

dodo512, А как отдавать файл так если допустим есть 2 домена на одном сервере VESTA site.ru и site2.ru допустим нужно из site.ru/load.php?path=bran.png дать ссылку на скачивание из site2.ru/files/bran.png и если нет файла то ошибку 404 файл 404.php допустим?

[Saha707]

dodo512, Что в Location прописать? если знаете?