nginx|openresty配置lua脚本自动封ip

本文不举行介绍怎么安装lua环境、openresty预安装有lua脚本运行环境、nginx必要自行编译；
本文会把黑名单ip界说在文件中，步伐运行时定时覆盖内容到内存中，提拔运行速度
1、nginx.conf配置加载lua

1. #WAF
2. lua_shared_dict blist 50m;
3. init_worker_by_lua_file "/usr/local/openresty/nginx/conf/lua/init.lua";
4. access_by_lua_file "/usr/local/openresty/nginx/conf/lua/blacklist.lua";

复制代码

lua_shared_dict blist 作用:创建一个共享内存字典，定名为 blist（存储黑名单ip信息）
init_worker_by_lua_file 作用：初始化全局变量或其他 Lua 模块
access_by_lua_file 作用：在 access 阶段（哀求访问控制阶段）运行指定的 Lua 脚本
获取访问进来的ip地点（兼容ipv4和ipv6）

1. map $http_x_forwarded_for  $realip
2. {
3.   ""    $remote_addr;
4.   ##兼容ipv4及ipv6，兼容特殊格式ipv6
5.    "~*(?P<firstAddr>([0-9a-f]{0,4}:){1,7}[0-9a-f]{1,4}|([0-9]{1,3}\.){3}[0-9]{1,3})" $firstAddr;
6. }

复制代码

把获取到的ip界说变量为$realip，后续脚本会调用
2、配置init.lua和blacklist.lua脚本

init.lua

1.     local function load_blacklist_to_shared_memory()
2.         local file, err = io.open("/usr/local/openresty/nginx/conf/waf/rule-config/iplist.txt", "r")
3.         if not file then
4.             ngx.log(ngx.ERR, "failed to open blacklist file: ", err)
5.             return
6.         end
8.         -- 检查文件是否为空
9.         local is_empty = true
10.         for _ in file:lines() do
11.             is_empty = false
12.             break
13.         end
15.         if is_empty then
16.             ngx.log(ngx.ERR, "blacklist file is empty")
17.             file:close()
18.             return
19.         end
21.         -- 文件非空时重新打开文件并加载数据
22.         file:seek("set", 0)
23.         local dict = ngx.shared.blist
24.         dict:flush_all()  -- 清空共享内存，重新加载
25.         for line in file:lines() do
26.             dict:set(line, true)
27.         end
29.         file:close()
30.     end
32.     local function refresh_blacklist(premature)
33.         if premature then
34.             return
35.         end
37.         load_blacklist_to_shared_memory()
38.         ngx.log(ngx.INFO, "Blacklist reloaded successfully.")
40.         -- 重新设置定时器
41.         local ok, err = ngx.timer.at(5, refresh_blacklist)
42.         if not ok then
43.             ngx.log(ngx.ERR, "Failed to create timer: ", err)
44.         end
45.     end
47.     -- 初始化时加载黑名单
48.     load_blacklist_to_shared_memory()
50.     -- 设置定时器
51.     local ok, err = ngx.timer.at(5, refresh_blacklist)
52.     if not ok then
53.         ngx.log(ngx.ERR, "Failed to create timer: ", err)
54.     end

复制代码

定时器是5秒钟重新到黑名单文件读取ip写到内存中
blacklist.lua

1.     -- 加载黑名单数据到共享内存
2.     local function load_blacklist_to_shared_memory()
3.         local file, err = io.open("/usr/local/openresty/nginx/conf/waf/rule-config/iplist.txt", "r")
4.         if not file then
5.             ngx.log(ngx.ERR, "failed to open blacklist file: ", err)
6.             return false
7.         end
9.         -- 检查文件是否为空
10.         local is_empty = true
11.         for _ in file:lines() do
12.             is_empty = false
13.             break
14.         end
16.         if is_empty then
17.             ngx.log(ngx.ERR, "blacklist file is empty")
18.             file:close()
19.             return false
20.         end
22.         -- 文件非空时重新打开文件并加载数据
23.         file:seek("set", 0)
24.         local dict = ngx.shared.blist
25.         dict:flush_all()  -- 清空共享内存，重新加载
26.         for line in file:lines() do
27.             dict:set(line, true)
28.         end
30.         file:close()
31.         return true
32.     end
34.     -- 检查 IP 是否在黑名单中
35.     local function check_blacklist(ip)
36.         local dict = ngx.shared.blist
37.         return dict:get(ip)
38.     end
40.     -- 获取客户端 IP
41.     local function get_client_ip()
42.         return ngx.var.realip or "unknown"
43.     end
45.     -- 主逻辑
46.     -- local blacklist_loaded = load_blacklist_to_shared_memory()
47.     local client_ip = get_client_ip()
49.     if  check_blacklist(client_ip) then
50.         ngx.log(ngx.ERR, "IP " .. client_ip .. " is blacklisted")
51.         ngx.exit(ngx.HTTP_FORBIDDEN)
52.     end
54.     -- 根据请求路径分发处理逻辑
55.     local uri = ngx.var.uri
56.     if uri == "/reload-blacklist" then
57.         -- 添加 IP 条件判断
58.         local allowed_ip_prefix = "172.31"
59.         local client_ip_prefix = string.sub(client_ip, 1, #allowed_ip_prefix)
60.         if client_ip_prefix ~= allowed_ip_prefix then
61.             ngx.log(ngx.ERR, "Access forbidden for IP: " .. client_ip)
62.             ngx.exit(ngx.HTTP_FORBIDDEN)
63.         end
65.         -- 重新加载黑名单到共享内存
66.         local reloaded = load_blacklist_to_shared_memory()
67.         if reloaded then
68.             ngx.say("Blacklist reloaded successfully.")
69.         else
70.             ngx.say("Blacklist file not found or is empty. No changes made.")
71.         end
72.     end

复制代码

可以自界说访问reload-blacklist路径的url就举行革新黑名单ip，allowed_ip_prefix对访问进来的ip举行白名单限制
最后界说iplist.txt就可以了，每个ip为一行，init.lua和blacklist.lua中用io.open界说iplist.txt的路径

iplist.txt

1. 1.2.3.4
2. 1a:d8:eb:42:91:f8

复制代码

举行reload步伐就可以利用了，在这个自动化的基础上，配合日志体系，根据自界说规则就可以自动化的屏蔽异常ip；
异常ip输出到error日志中

博主利用过loki日志体系和elk日志体系，都可以根据一定时间内ip次数到达多少就自动屏蔽ip；运维以后不再半夜起床排查异常ip；
后续更新这篇博客，到场跳转链接，敬请等待；

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。