Como negar acesso a recursos com base em cabeçalhos X-encaminhados

Estou tentando restringir o acesso aos recursos por trás do Nginx com base no IP do cliente passado nos cabeçalhos X-encaminhados. O Nginx está sendo executado em um contêiner em um cluster Kubernetes no Google Cloud Platform e os ips de clientes reais são passados ​​apenas no cabeçalho x-forwarded-for

Até agora, consegui fazer isso por um único IP com o seguinte código:

set $allow false;
if ($http_x_forwarded_for ~* 123.233.233.123) {
    set $allow true;
}
if ($http_x_forward_for ~* 10.20.30.40) {
    set $allow false;
}
if ($allow = false) {
    return 403;
}

Mas como posso fazer isso para intervalos inteiros de IPs? Especificar centenas de IPs manualmente não faz muito sentido.

Toda ajuda é apreciada

Use o módulo RealIP para honrar o valor do X-Forwarded-Forcabeçalho. Defina set_real_ip_fromcomo o endereço IP do proxy reverso (o valor atual de $remote_addr).

Por exemplo:

server {
    ...
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;
    ...
}

Agora você deve poder usar $remote_addre allow/ denydiretivas usando o verdadeiro endereço IP do cliente. Veja este documento para mais informações.

A resposta de Richard já continha as informações sobre a melhor maneira de obter o endereço IP real para o nginx.

Enquanto isso, no que diz respeito à especificação de intervalos de IP, você pode usar http://nginx.org/en/docs/http/ngx_http_geo_module.html .

O geomódulo funciona como o mapmódulo, ou seja, uma variável recebe valores atribuídos, dependendo do valor do endereço IP.

Um exemplo:

geo $allow {
    default 0;
    192.168.168.0/24 1;
}

server {
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;

    if ($allow = 0) {
        return 403;
    }
}

Aqui atribuímos o geomapa, onde o valor padrão $allowé 0. Se o endereço IP estiver na sub-rede 192.168.168.0/24, $allowobterá o valor 1 e a solicitação é permitida.

Você pode ter quantas linhas no geobloco precisar definir seus intervalos de IP.

Tenho estes trabalhando para mim.

geo $remote_addr $giveaccess {
      proxy 172.0.0.0/8; <-- Private IP range here
      default 0;
      11.22.33.44 1; <-- Allowed IP here
    }


server{
##
    location ^~ /secure_url_here {
        if ($giveaccess = 0){
          return 403; 
        }
        try_files $uri $uri/ /index.php?$args; <-- Add this line specific for your CMS, if required.
    }

Ref: http://nginx.org/en/docs/http/ngx_http_geo_module.html