关于 apache 和 nginx 的 auth 疑问

› NGINX

在线学习资源

› NGINX 开发从入门到精通

NGINX Modules

› ngx_echo

This topic created in 4494 days ago, the information mentioned may be changed or developed.

有一些服务器用的是apache或nginx
问题是，为了防止暴力破解，想有一个密码错误尝试多次后不让其继续访问需要auth的页面（所对应的公网ip），但其他的普通网页依然允许访问的功能
我现在自己配置的apache和nginx可以无限重试，感觉太不放心了

7 replies • 1970-01-01 08:00:00 +08:00

kfll

Apr 15, 2014

auth? 你是指自带的 http auth 模块么

这俩自带的模块好像都没有这个特性

这里有解决方案： http://serverfault.com/questions/421046/how-to-limit-nginx-auth-basic-re-tries

cevincheung

Apr 15, 2014

单纯依靠nginx/apache实现不了吧。auth页面自己写逻辑啊，密码错误几次今天内这个ip封掉啊。redis&memcache就好

Livid

MOD

PRO

Apr 15, 2014 via iPhone

ngx lua 放到 access_by_lua 阶段，对请求中带 Authorization 头部的 IP 进行计数，在一定时间内超过阀值就触发 403。

caizixian

Apr 15, 2014

现在我是直接Deny All
Allow IP

@kfll 用fail2ban 把整个IP都给禁了连普通页面也无法访问
@cevincheung 太复杂了吧
@Livid 能给个样例吗谢谢

lang1pal

Apr 15, 2014

用fail2ban好像就以解决了

cevincheung

Apr 15, 2014

@caizixian 一点都不复杂。web server不承担验证逻辑判断的任务。像@Livid 的方案也是把验证逻辑搬到了nginx里，“验证”这个逻辑和代码部分内容依然还是存在的。

cevincheung

Apr 15, 2014

补充一下，如果写到nginx里，那还要考虑到以后的扩展问题，做负载不好做啊 -_-#