Autoriser uniquement les utilisateurs locaux dans nginx

Je souhaite restreindre l'accès à certains VHosts afin que seul 127.0.0.1 puisse y accéder. J'ai toujours utilisé quelque chose comme ça pour lier le VHost à l'hôte local et non à l'IP externe:

server {
    listen 127.0.0.1;
    server_name myvhost.local;
    location / {
        ....
    }
}

Mais j'ai remarqué que certains didacticiels incluent également des allowdirectives explicites pour le localhost et refusent expressément tous les autres:

server {
    listen 127.0.0.1;
    server_name myvhost.local;
    location / {
        allow 127.0.0.1;
        deny all;
        ...
    }
}

Ces directives allow/ sont-elles denyvraiment nécessaires lorsque j'écoute déjà uniquement à la 127.0.0.1?

La listendirective indique au système d'exploitation sur quelle interface le serveur Web se lie. Ainsi, lorsque vous regardez netstat -aaprès le démarrage de nginx, vous verrez que nginx écoute uniquement sur le port IP 127.0.0.1 80, ce qui signifie que le serveur nginx ne peut être atteint via aucune autre interface.

La liaison à une adresse IP spécifique fonctionne à un niveau inférieur dans la pile réseau réelle par rapport aux directives allow/ denydans la configuration nginx.

Cela signifie que vous n'avez pas besoin de directives allow/ séparées denydans votre configuration avec votre cas d'utilisation, car les connexions sont limitées plus bas dans la pile réseau.

Si vous spécifiez listen 80;uniquement et utilisez les directives allow/ deny, nginx enverra un code d'erreur HTTP au client, indiquant que l'accès est refusé.

Dans ce listen 127.0.0.1;cas, le navigateur ne peut pas du tout se connecter au serveur, car il n'y a pas de port TCP ouvert pour que le navigateur puisse se connecter.

Supposons que votre ID réseau soit 192.168.1.0, modifiez votre fichier conf comme ceci:

location / {
  # block one workstation
  deny    192.168.1.1;
  # allow anyone in 192.168.1.0/24
  allow   192.168.1.0/24;
  # drop rest of the world
  deny    all;
}

Veuillez me faire savoir comment cela fonctionne pour vous.

Édition n ° 1:

Oui, la directive allow est un must selon le wiki officiel de Nginx . Leur exemple est:

location / {
    allow 192.168.1.1/24;
    allow 127.0.0.1;
    deny 192.168.1.2;
    deny all;
}

Je voulais obtenir la même fonctionnalité (autoriser uniquement les utilisateurs locaux dans nginx) et j'ai compris que je pouvais faire quelque chose de simple comme ceci:

server {
    listen 127.0.0.1:80;

    index index.html index.htm index.nginx-debian.html;

    location = /favicon.ico { access_log off; log_not_found off; }

    location /static/ {
        root /path/to/folder;
    }       

    location / {
        include proxy_params;
    }
}

Ce fichier de configuration fonctionne très bien pour moi, je n'utilise aucune allowdirective, mais seulement 127.0.0.1:80, et avec cela je suis en mesure de restreindre l'accès nginx aux utilisateurs locaux uniquement!