Как правильно создать белый список доступа для определенного url в nginx?

Илья Петров, если страницу по адресу /graphql генерировал /index.php, то в этом location прописать rewrite и fastcgi_pass.

location /graphql {
	# локальный
	allow 192.168.1.0/24;
	
	# ip v4 сервера
	allow 188.225.XX.XX/24;

	# мой IP
	allow 78.XX.XX.XX/24;

	deny all;

	rewrite ^ /index.php break;
    
	fastcgi_pass ...;
	include fastcgi.conf;
}

Как правильно создать белый список доступа для определенного url в nginx?

Адрес /graphql в итоге должен перенаправляться на какой-то PHP скрипт?

Две 404 страницы: для полной версии сайта и для мобильной?

Slash, да, всё так.

Две 404 страницы: для полной версии сайта и для мобильной?

error_page 404 /error/404/;

location ~* ^.+\.(jpg|jpeg|gif|png|ico|css|js|ttf)$ {
	expires 180d;
}

location / {
	try_files $uri /index.php?do=$uri;

Всё что не является существующим файлом направляется в /index.php.
Для адресов вида /blog/22/ сработает try_files.
/blog/22/ -> /index.php?do=/blog/22/
Тут уже запрос обрабатывается в PHP и принимается решение показать страницу 404 для ПК или мобильную версию.

А error_page срабатывает только при запросе несуществующих картинок.
/file.jpg -> /index.php?do=/error/404/
И тут выбор мобильной версии или версии для ПК тоже должен быть в PHP.

Как обработать запрос к nginx содержащий кириллицу?

Footer_pro, если бекенд нормально обрабатывает такие запросы, то остаётся подробнее смотреть конфиг nginx.

Nginx, как в логах видеть реальный ip?

Передать реальный IP можно используя специальный протокол PROXY.

stream {
    server {
        listen      443;
        proxy_protocol on;

И на принимающей стороне в каждый listen 8443 ssl http2 добавить proxy_protocol.
listen 8443 ssl http2 proxy_protocol

Ну и не забыть настроить ngx_http_realip_module.

set_real_ip_from 127.0.0.1;

real_ip_header  proxy_protocol;

Не ясно что там слушает на 192.168.67.250:443 и 10.10.10.249:443 и есть ли там возможность использовать proxy_protocol.

Nginx, как в логах видеть реальный ip?

http {
    server {
        listen 8443 ssl http2;

# configuration file /etc/nginx/modules-enabled/dev.rmiac18.conf:
stream {
    server {
        listen      443;

Ну вот и нашлось listen 443; только в контексте stream, а не http.
Пока не ясно зачем тут ngx_stream_proxy_module и ngx_http_proxy_module одновременно.

Nginx, как в логах видеть реальный ip?

"Ничего не поменялось" могло бы быть только в одном случае

AUser0, ещё такое могло быть если в конфиге поменял listen 443 http2 ssl;, но не сделал reload или restart nginx. Так что сервер продолжал работать со старым конфигом.

Как правильно настроить редирект в nginx?

Макс, в данном случае не обязательно.
А вот если в выражении будет квантификатор вроде {1,}, то обязательно.
Иначе nginx не поймёт где заканчивается регулярка и где начинается блок правил.

{
        return 301 $uri;
}

Как правильно настроить редирект в nginx?

.+ любое количество любых символов.
[^?]+ любое количество любых символов кроме знака вопроса.

если в урле присутствует знак вопроса, но нет параметров.

Макс, например, /page?query? знак вороса есть и параметры есть.
шаблон ^.+\?$ совпадает https://regex101.com/r/gXxd9W/1
а шаблон ^[^?]+\?$ нет https://regex101.com/r/gXxd9W/2

Как сделать постраничный 301 редирект с исключением при смене домена?

В начало файла .htaccess добавить

RewriteEngine On

RewriteCond %{REQUEST_URI} !^/toptop
RewriteCond %{HTTP_HOST}   ^site\.ru$ [NC]
RewriteCond %{ENV:REDIRECT_STATUS} ^$
RewriteRule .* http://newsite.ru/$0 [R=301,L]

Как настроить ЧПУ Nginx под CMS Docpart?

При запросе /sto должно сработать try_files $uri $uri/ /index.php?$args; и если файл не найден будет перенаправление на /index.php
zxcursedead, после изменений конфига не забыли сделать reload или restart? Чтобы nginx перечитал файл конфигурации и применил его.

Как настроить ЧПУ Nginx под CMS Docpart?

error_log /var/www/httpd-logs/******.error.log notice;

error_log /var/www/httpd-logs/********.ru.error.log notice;

zxcursedead, что там в error.log?

Редирект с GET запроса на ЧПУ?

на всех серверах файл идентичен

JastaFly, если всё иднтично, то непонятно почему так меняется поведение.
Может где-то выше есть ещё .htaccess и RewriteOptions
/home/bitrix/ext_www/.htaccess

rewriterule
When you want to erase an existing query string, end the substitution string with just a question mark.

Добавление знака вопроса это штатный способ стереть все GET-параметры.
Что тут может быть не так.
Ещё вариант попробовать убрать ? и добавить флаг QSD.

RewriteCond %{QUERY_STRING} ^(brand)=([^&]+)$
RewriteRule ^(en/)?catalog/(.+/)?$ /$0%1/%2/ [R=301,L,QSD]

Редирект с GET запроса на ЧПУ?

JastaFly, правил которые вызывали бы появление /%3f тут не видно.
Тогда остается подробнее смотреть содержимое
/home/bitrix/ext_www/my-site.ru/.htaccess

Редирект с GET запроса на ЧПУ?

JastaFly, Nginx возвращает ровно то что получает от Apache.
Теперь осталось выяснить что не так с конфигом Apache.
Нужно глянуть на тестовом сервере что в <VirtualHost>

Редирект с GET запроса на ЧПУ?

JastaFly, в заголовках ответов Server: nginx, а не Server: Apache
Т.е. все запросы получал Nginx.
Нужно посмотреть на каком порту слушает Apache и проверить отдельно его работу.

Редирект с GET запроса на ЧПУ?

JastaFly, тогда для начала на тестовом сервере попробовать в обход Nginx прямые запросы к Apache.
Посмотреть на каком порту слушает Apache и с помощью curl сделать запрос.
Например:

curl -I -H 'Host: my-site.ru'  'http://127.0.0.1:7080/catalog/?brand=microsoft'

curl -I -H 'Host: my-site.ru'  'http://127.0.0.1:7080/en/catalog/bdsm-kostumi/maski-s-klapom/?brand=microsoft'

Редирект с GET запроса на ЧПУ?

JastaFly, тогда нужно подробнее что там за конфиг на тестовом сервере и на локалке.
Используется один Apache или связка Nginx + Apache и какой версии.

Редирект с GET запроса на ЧПУ?

JastaFly, что в .htaccess на тестовом сервере?
Может там лишний /
/$0%1/%2/?/