imported>Vix: Новая страница: «== '''Как конфигурацией Nginx закрыть доступ к файлам/папке по паролю.'''== В конфигурационном …»

2013-09-01T00:47:54Z

Новая страница: «== '''Как конфигурацией Nginx закрыть доступ к файлам/папке по паролю.'''== В конфигурационном …»

Новая страница

== '''Как конфигурацией Nginx закрыть доступ к файлам/папке по паролю.'''==
В конфигурационном файле, в папке, которую хотим закрыть надо только указать файл, где хранятся пароли.
Вот 2 примера для закрытия папки с файлами:

location ^~ /files/ {
root /path/to/server;
autoindex on;
autoindex_exact_size off;
auth_basic "Hello, please login";
auth_basic_user_file /usr/nginx/passwords;
access_log /usr/nginx/logs/files.log download;
}

и админовской части c дополнительным ограничением по IP:

location ^~ /admin/ {
fastcgi_pass unix:/home/project/server.sock;
include conf/fastcgi.conf;
allow 11.11.0.0/16;
allow 22.22.22.22;
deny all;
auth_basic "Hello, Admin, please login";
auth_basic_user_file /usr/nginx/adminpassword;
access_log /usr/nginx/logs/admin.log main;
}

Добавить пользователя можно с помощью стандартной утилиты от apache:

htpasswd -b passwords NewUser NewPassword

В файле запись с зашифрованным паролем имеет вид:

NewUser:P47gh66kloG78: Your Can Comment Here

Защиту от перебора паролей можно организовать одновременно двумя методами, основанными на использовании iptables:
* Блокирование IP на время, если количество запросов в секунду превышает какое-либо разумное количество
* Вести лог неудачных попыток подбора пароля и скриптом раз в минуту проверять лог и заносить IP адреса в iptables
Для первого варианта достаточно создать правила:

iptables -A INPUT -p tcp --syn --dport 80 -i eth0 -m state --state NEW
-m recent --name bhttp --set
iptables -A INPUT -p tcp --syn --dport 80 -i eth0 -m state --state NEW
-m recent --name bhttp --update --seconds 120
--hitcount 360 -j DROP
iptables -A INPUT -p tcp --syn --dport 80 -i eth0 -j ACCEPT

Можно вместо DROP использовать TARPIT, чтобы усложнить жизнь ломателям
Для второго варианта надо добавить в конфиг:

location /401.html {
root /usr/nginx;
access_log /usr/nginx/logs/denied.log error401;
}

Формат error401, у меня например такой:

log_format error401 '$remote_addr - $remote_user [$time_local] '
'$status "$request"';

[http://linux.nedze.com/nginx-%D0%BD%D0%B0%D1%81%D1%82%D1%80%D0%BE%D0%B9%D0%BA%D0%B0-%D0%B7%D0%B0%D0%BF%D1%80%D0%B5%D1%82%D0%B0-%D0%B4%D0%BE%D1%81%D1%82%D1%83%D0%BF%D0%B0/ статья тут]

Nginx — настройка запрета доступа - История изменений

imported>Vix: Новая страница: «== '''Как конфигурацией Nginx закрыть доступ к файлам/папке по паролю.'''== В конфигурационном …»