openResty+redis的方式实现ip黑名单

安装依赖库,注意perl版本需要5.6.1+

[root@centos7-template openresty-1.19.3.1]# yum install perl libpcre libssl gcc pcre-devel openssl openssl-devel -y

下载openResty,官网：http://openresty.org/

[root@centos7-template data]# wget https://openresty.org/download/openresty-1.19.3.1.tar.gz
[root@centos7-template data]# tar -xf openresty-1.19.3.1.tar.gz

修改nginx版本信息（此步可以忽略）

[root@centos7-template data]# vim ./openresty-1.19.3.1/bundle/nginx-1.19.3/src/core/nginx.h

##以下为修改内容##
#将#define NGINX_VER          "openresty/" NGINX_VERSION ".1"
#修改为#define NGINX_VER          "ylw/" NGINX_VERSION ".1"

编译openResty，编译成功后，默认安装路径在/usr/local/openresty

[root@centos7-template openresty-1.19.3.1]# ./configure && make && make install

进入配置openResty的nginx

[root@ylw conf]# vim /usr/local/openresty/nginx/conf/nginx.conf

##下面为配置内容
#1、http段加入下面配置
   lua_package_path "/usr/local/openresty/lualib/?.lua;;" ;#加载lua库
   lua_package_cpath "/usr/local/openresty/lualib/?.so;;" ;#加载c库
   server_tokens off;#隐藏版本号
   autoindex off;#关闭目录浏览功能
#2、server段加入下面配置
    error_page 403 /403.html;#当状态码为403时，跳转到指定location
    location /403.html { #自定义403错误页面，页面需要自己创建
        root html;
    }
#3、location /段加入如下配置
    access_by_lua_file /usr/local/openresty/luajit/sh/test.lua;#在处理请求阶段，执行lua脚本

编写lua脚本，记得脚本要给x权限

[root@ylw openresty]# vim /usr/local/openresty/luajit/sh/test.lua

#下面为脚本内容
-- 连接redis检查ip是否在redis中
local function check_ip(ip)
        local redis = require "resty.redis"
        local red = redis:new()

        red:set_timeout(redis_connection_timeout)-- Time out

        local ok, err = red:connect("127.0.0.1",6379)-- 地址host，端口号port
        ok, err = red:auth("123123")-- password    -- redis设置的密码
        if not ok then    -- 链接失败的时候
                ngx.log(ngx.DEBUG, "error:" .. err)
        else
                local test = red:exists(ip)-- 判断redis中key值是否存在，存在则返回1，不存在则返回0
                if test == 1 then
            ngx.exit(403)
            lua_exit()
        end
    end
end

-- 字符串切割函数
function split(szFullString, szSeparator)  
 local nFindStartIndex = 1  
 local nSplitIndex = 1  
 local nSplitArray = {}  
 while true do  
    local nFindLastIndex = string.find(szFullString, szSeparator, nFindStartIndex)  
    if not nFindLastIndex then  
        nSplitArray[nSplitIndex] = string.sub(szFullString, nFindStartIndex, string.len(szFullString))  
        break  
    end  
    nSplitArray[nSplitIndex] = string.sub(szFullString, nFindStartIndex, nFindLastIndex - 1)  
    nFindStartIndex = nFindLastIndex + string.len(szSeparator)  
    nSplitIndex = nSplitIndex + 1  
    end  
    return nSplitArray  
end  
-- 切割http_x_forwarded_for函数
local function cutString(str1)
    local ip_list = split(str1,",")
        return ip_list
end

if ngx.var.http_x_forwarded_for == nil then -- 当不经过代理直接访问时，http_x_forwarded_for值为空，此时判断remote_addr是否在黑名单中。（不判空的话，为空时程序会报错）
    check_ip(ngx.var.remote_addr)
else
    for i,v in pairs(cutString(string.gsub(ngx.var.http_x_forwarded_for," ",""))) do -- 字符串切割会返回一个table，采用for循环遍历table。同时，记得先处理ngx.var.http_x_forwarded_for值带有空格的问题
        check_ip(v)
    end
end

搭建redis

[root@centos7-template data]# tar -xf redis-4.0.14.tar.gz
[root@centos7-template data]# cd redis-4.0.14
[root@centos7-template redis-4.0.14]# make && make install

修改redis配置文件

requirepass 123123 #设置密码
daemonize yes #后台启动

启动redis

[root@ylw redis-4.0.14]# redis-server ./redis.conf

登录redis,并且设置key值(模拟ip黑名单)

[root@ylw redis-4.0.14]# redis-cli -h 127.0.0.1 -p 6379 -a 123123
127.0.0.1:6379> set 192.168.150.1 1

启动openresty的nginx

[root@ylw sbin]# /usr/local/openresty/nginx/sbin/nginx

测试步骤

1、redis的key值中存在你的ip地址，访问系统，出现403则表示拦截成功

2、删除redis中你的ip地址，访问系统，看看是否能否正常访问

ps：

1、lua脚本做修改时，必须重载nginx配置，否则新lua脚本不生效

2、命令行登录redis后，通过keys *的方式查看所有keys，keys xxx 可以查看具体的key。

3、cat ip_test.txt | redis-cli -h 127.0.0.1 -p 6379 -a 123123 --pipe，此命令可以批量执行redis命令

4、del key的名字，此命令可以删除redis中的key