allow - deny

[Igor Sysoev]

On Thu, 7 Jul 2005, Alex Kitschkiruk wrote:

> А у меня что-то непонятное происходит с правами доступа :(
> Например есть 2 виртуальных сервера.
> Первый хочется полностью по IP защитить, например только для всех
> адресов начиная с  55.55
> И выдает ошибку
>
> 2005/07/07 21:48:01 [error] 28393#0: *1 access forbidden by rule,
> client: 55.55.55.55, server: server.com, URL: "/", host:
> "server.com:8080"
>
> Только прямой вариант срабатывает, с полным адресом 55.55.55.55
> Варианты типа
>  allow 55.55.0/16;
> не спасли положение.

Как именно писались правила ? Я вижу в примере
     allow 55.55;
Он эвкивалентен allow  55.0.0.55;

Такие варианты
     allow 55.55.0.0/16;
     allow 55.55.0/16;
должны работать.

> Плюс к тому же происходит запрет на доступ к графическим файлам для
> другого сервера, определенным по правилу.
>  2005/07/07 21:53:01 [error] 28587#0: *3 open()
> "/srv/www/htdocs/web2/html/favicon.ico" failed (13: Permission
> denied), client: 55.55.55.55, server: virtualserver.com, URL:
> "/favicon.ico", host: "virtualserver.com:8080"
> правило срабатывает, проверил по логам:
>  55.55.55.55 - - [07/Jul/2005:21:53:01 +0200] "-" "GET /favicon.ico
> HTTP/1.1" 403 348 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru-RU;
> rv:1.7.8) Gecko/20050511 Firefox/1.0.4" "-" "-"

Этот "Permission denied" - не результат действия директив allow/deny.
Это значит, что пользователь www не может открыть файл
/srv/www/htdocs/web2/html/favicon.ico

> И еще почему-то не срабатывает правило из примера, для директории.
> пропускает все на апач
>
> Это все мои ошибки?
>
> Вот конфиг:
>
> user  www www;
> worker_processes  3;
> events {
>    connections  2000;
>    use epoll;
> }
>
> http {
>    include       conf/mime.types;
>    default_type  application/octet-stream;
>
> [SKIP]
>
> # confixx
>        server {
>        listen  8080;
> 	      server_name server.com;
>        access_log  /usr/local/nginx/logs/access_confixx.log  main;
>
>        location / {
> 	    proxy_pass         http://x.x.x.x:80/;
> 	    proxy_redirect     off;
> 	    proxy_set_header   Host             $host;
> 	    proxy_set_header   X-Real-IP        $remote_addr;
> 	    proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;
> 	    client_max_body_size       10m;
> 	    client_body_buffer_size    128k;
> 	    proxy_connect_timeout      90;
> 	    proxy_send_timeout         90;
> 	    proxy_read_timeout         90;
> 	    proxy_header_buffer_size   4k;
> 	    proxy_buffers              4 32k;
> 	    proxy_busy_buffers_size    64k;
> 	    proxy_temp_file_write_size 64k;
>
> 	    allow 55.55;
> 	    deny  all;
>        }
>
> 	location ~* ^.+\.(jpg|jpeg|gif|png|ico|css|js)$ {
> 	    root   /srv/www/confixx/html;
> 	    access_log   off;
> 	    expires      30d;
> 	}
>
>        location ~ \.ht {
>            deny  all;
>        }
>    }
>
> # web2
>    server {
>        listen  8080;
>        	server_name virtualserver.com;
>        access_log  /usr/local/nginx/logs/access_web2.log  main;
>        location / {
> 	    proxy_pass         http://x.x.x.x:80/;
> 	    proxy_redirect     off;
> 	    proxy_set_header   Host             $host;
> 	    proxy_set_header   X-Real-IP        $remote_addr;
> 	    proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;
> 	    client_max_body_size       10m;
> 	    client_body_buffer_size    128k;
> 	    proxy_connect_timeout      90;
> 	    proxy_send_timeout         90;
> 	    proxy_read_timeout         90;
> 	    proxy_header_buffer_size   4k;
> 	    proxy_buffers              4 32k;
> 	    proxy_busy_buffers_size    64k;
> 	    proxy_temp_file_write_size 64k;
>        }
>        location /files/ {
>            valid_referers  none  server_names  *.virtualserver.com/;
>            if ($invalid_referer) {
>                return   403;     }
> 	    root   /srv/www/htdocs/web2/html/files;
> 	    autoindex    on;
> 	    access_log   /usr/local/nginx/logs/access_web2_files.log   download;
> 	}
> 	location ~* ^.+\.(jpg|jpeg|gif|png|ico|mpg)$ {
> 	    root   /srv/www/htdocs/web2/html;
> 	    access_log   off;
> 	    expires      30d;
> 	}
>        location ~ \.ht {
>            deny  all;
>        }
>    }


Игорь Сысоев
http://sysoev.ru