开发环境下如何进行安全加固呢

由于公司机房和办公环境是在一起的，默认情况下公司出口IP是禁止80/443访问【运营商侧有限制】。目前采用的是阿里云进行中转，即将开发环境的域名解析到阿里云，然后通过Nginx反向代理到公司出口非80端口。开发环境部分接口涉及到第三方回调和校验，所以完全禁止开发环境对外网访问不现实。

目前合理的需求如下：

1. 公司网络地址段可以访问开发环境不受限制
2. 允许部分第三方IP地址段加入白名单
3. 若第三方IP不固定，需支持第三方回调的URL加入白名单
4. 不在上述条件内全部禁止外网访问。

面对上述简单的需求场景，我们如何实现呢?

方案一：采用防火墙白名单策略进行实现，目前看只能实现 1 和 2 的条件

方案二：采用Nginx的allow、deny等策略，目前看也只能实现 1 和 2 的条件

方案三：采用Nginx+Lua 通过access_by_lua_file策略，目前看能实现上述所有条件而且实现起来比较简单，改造成本较小。

1. 在Nginx的server层配置：access_by_lua_file 'scripts/filter_white.lua'
2. filter_white.lua 脚本配置信息： 

 
 

  
  
root@develop:/usr/local/nginx/scripts# cat filter_white.lua  
  
  
-- 默认配置 
  
  
local redis = require 'resty.redis' 
  
  
local allow = false 
  
  
 
  
  
-- 连接Redis 
  
  
local red = redis:new() 
  
  
local ok, err = red:connect('172.17.173.183', 26379) 
  
  
if not ok then 
  
  
    ngx.log(ngx.ERR, 'connect to redis failed: ' .. err) 
  
  
end 
  
  
 
  
  
local res, err = red:auth('Huajianghu@123') 
  
  
if not res then 
  
  
    ngx.log(ngx.ERR, 'failed to authenticate: ' .. err) 
  
  
end 
  
  
 
  
  
-- 过滤精确IP 
  
  
--if red:sismember('white:dev:ip', ngx.var.remote_addr) == 1 then 
  
  
--    allow = true 
  
  
--end 
  
  
 
  
  
-- 过滤IP地址段 
  
  
local iputils = require("resty.iputils") 
  
  
iputils.enable_lrucache() 
  
  
local white_ips =red:smembers('white:dev:ip') 
  
  
local whitelist = iputils.parse_cidrs(white_ips) 
  
  
if iputils.ip_in_cidrs(ngx.var.remote_addr, whitelist) then 
  
  
    allow = true 
  
  
end  
  
  
 
  
  
-- 过滤URL 
  
  
if not allow then 
  
  
        local url = ngx.var.http_host .. ngx.var.uri 
  
  
        local white_urls = red:smembers('white:dev:url') 
  
  
        for index, white_url in ipairs(white_urls) do 
  
  
                if url:match(white_url) then 
  
  
                        allow = true 
  
  
                        break 
  
  
                end 
  
  
        end 
  
  
end 
  
  
 
  
  
-- 默认策略 
  
  
if not allow then 
  
  
    ngx.log(ngx.ERR, "not allow: " .. ngx.var.http_host .. ngx.var.uri) 
  
  
    ngx.status = ngx.HTTP_FORBIDDEN 
  
  
    ngx.say('请申请白名单') 
  
  
    ngx.exit(200) 
  
  
end 
 
 

3.此脚本仅供参考使用，特殊场景需要进行修改lua脚本。

分享名称：开发环境下如何进行安全加固呢
文章路径：http://www.mswzjz.cn/qtweb/news38/325438.html

攀枝花网站建设、攀枝花网站运维推广公司-贝锐智能，是专注品牌与效果的网络营销公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 贝锐智能