nginx 配置代理公网访问js、css静态页面时使用代理通过内网访问

在Nginx服务器中，配置代理以限制特定IP地址访问是一项重要的安全措施，这有助于保护后端服务免受不必要的外部访问。以下是如何通过Nginx配置实现这一目标的详细步骤和注意事项。 我们需要了解Nginx的配置结构。Nginx的配置文件通常位于`/etc/nginx/nginx.conf`或`/usr/local/nginx/conf/nginx.conf`，具体取决于你的系统安装位置。在这个文件中，我们可以定义多个server块来处理不同的域名或端口请求。在每个server块内，我们可以通过location指令来处理特定的URL路径。 要实现只允许内部IP访问，我们需要在location块内设置`allow`和`deny`规则。以下是一个示例配置： ```nginx location / { index index.jsp; proxy_next_upstream http_500 http_502 http_503 http_504 error timeout invalid_header; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $remote_addr; # 允许的IP列表 allow 127.0.0.0/24; # 允许本地回环地址访问 allow 123.56.0.0/16; # 允许123.56.0.0到123.56.255.255的IP访问 allow 172.16.0.0/16; # 允许172.16.0.0到172.31.255.255的IP访问 allow 10.170.0.0/16; # 允许10.170.0.0到10.170.255.255的IP访问 # 拒绝所有其他IP deny all; 在这个配置中，`allow`和`deny`指令用于控制访问权限。`allow`后面的IP地址或者IP段是允许访问的，而`deny`则拒绝所有未在`allow`列表中的IP。注意，`deny`指令必须在`allow`之后，否则它会立即阻止所有访问，而不考虑后续的`allow`规则。 1. 子网掩码：IP地址后面的数字如24、16、8分别代表不同的子网掩码，它们对应255.255.255.0、255.255.0.0和255.0.0.0。这些掩码决定了IP地址的网络部分和主机部分，用于定义一个IP范围。 2. `proxy_next_upstream`指令定义了在哪些情况下Nginx应该尝试下一个上游服务器。在这个例子中，当遇到500、502、503、504错误，或者超时、无效的头部时，Nginx会尝试下一个上游服务器。 3. `proxy_set_header`指令用于设置传递给上游服务器的HTTP头部。`Host`头是必需的，因为很多应用依赖这个头来识别请求的目标域名。`X-Real-IP`和`X-Forwarded-For`头则用于传递客户端的真实IP地址，这对于日志记录和反向代理的IP跟踪非常重要。 注意事项： - `deny`指令必须至少有一个IP地址，否则Nginx会立即返回403 Forbidden错误，并且不会继续执行任何其他规则。如果403错误页面也在同一个Nginx服务器上，这可能导致死循环。 - `allow`的IP段应该按从小到大的顺序排列，以避免覆盖更具体的规则。例如，如果你有10.170.0.0/16和10.170.1.0/24两个规则，10.170.0.0/16应该放在前面，因为它包含了10.170.1.0/24。 - 最后的`deny all`指令用于拒绝所有未在`allow`列表中的IP地址。这是非常关键的一行，确保了只有指定的IP能够访问该location。 通过这种方式，你可以精确地控制哪些IP可以访问你的Nginx代理，从而提高了系统的安全性。请根据你的实际需求调整IP地址和子网掩码，确保正确地限制了访问权限。同时，记得在修改配置后使用`nginx -t`命令检查配置文件的语法，并用`nginx -s reload`命令重启Nginx以应用新的配置。