nginx|openresty配置lua脚本自动封ip

本文不进行介绍怎么安装lua环境、openresty预安装有lua脚本运行环境、nginx需要自行编译；
本文会把黑名单ip定义在文件中，程序运行时定时覆盖内容到内存中，提升运行速度

1、nginx.conf配置加载lua

#WAF
lua_shared_dict blist 50m;
init_worker_by_lua_file "/usr/local/openresty/nginx/conf/lua/init.lua";
access_by_lua_file "/usr/local/openresty/nginx/conf/lua/blacklist.lua";

lua_shared_dict blist 作用:创建一个共享内存字典，命名为 blist（存储黑名单ip信息）

init_worker_by_lua_file 作用：初始化全局变量或其他 Lua 模块

access_by_lua_file 作用：在 access 阶段（请求访问控制阶段）运行指定的 Lua 脚本

获取访问进来的ip地址（兼容ipv4和ipv6）

map $http_x_forwarded_for $realip
{
 "" $remote_addr;
 ##兼容ipv4及ipv6，兼容特殊格式ipv6
 "~*(?P<firstAddr>([0-9a-f]{0,4}:){1,7}[0-9a-f]{1,4}|([0-9]{1,3}\.){3}[0-9]{1,3})" $firstAddr;
 }

把获取到的ip定义变量为$realip，后续脚本会调用

2、配置init.lua和blacklist.lua脚本

init.lua

 local function load_blacklist_to_shared_memory()
 local file, err = io.open("/usr/local/openresty/nginx/conf/waf/rule-config/iplist.txt", "r")
 if not file then
 ngx.log(ngx.ERR, "failed to open blacklist file: ", err)
 return
 end
 -- 检查文件是否为空
 local is_empty = true
 for _ in file:lines() do
 is_empty = false
 break
 end
 if is_empty then
 ngx.log(ngx.ERR, "blacklist file is empty")
 file:close()
 return
 end
 -- 文件非空时重新打开文件并加载数据
 file:seek("set", 0)
 local dict = ngx.shared.blist
 dict:flush_all() -- 清空共享内存，重新加载
 for line in file:lines() do
 dict:set(line, true)
 end
 file:close()
 end
 local function refresh_blacklist(premature)
 if premature then
 return
 end
 load_blacklist_to_shared_memory()
 ngx.log(ngx.INFO, "Blacklist reloaded successfully.")
 -- 重新设置定时器
 local ok, err = ngx.timer.at(5, refresh_blacklist)
 if not ok then
 ngx.log(ngx.ERR, "Failed to create timer: ", err)
 end
 end
 -- 初始化时加载黑名单
 load_blacklist_to_shared_memory()
 -- 设置定时器
 local ok, err = ngx.timer.at(5, refresh_blacklist)
 if not ok then
 ngx.log(ngx.ERR, "Failed to create timer: ", err)
 end

定时器是5秒钟重新到黑名单文件读取ip写到内存中

blacklist.lua

 -- 加载黑名单数据到共享内存
 local function load_blacklist_to_shared_memory()
 local file, err = io.open("/usr/local/openresty/nginx/conf/waf/rule-config/iplist.txt", "r")
 if not file then
 ngx.log(ngx.ERR, "failed to open blacklist file: ", err)
 return false
 end
 -- 检查文件是否为空
 local is_empty = true
 for _ in file:lines() do
 is_empty = false
 break
 end
 if is_empty then
 ngx.log(ngx.ERR, "blacklist file is empty")
 file:close()
 return false
 end
 -- 文件非空时重新打开文件并加载数据
 file:seek("set", 0)
 local dict = ngx.shared.blist
 dict:flush_all() -- 清空共享内存，重新加载
 for line in file:lines() do
 dict:set(line, true)
 end
 file:close()
 return true
 end
 -- 检查 IP 是否在黑名单中
 local function check_blacklist(ip)
 local dict = ngx.shared.blist
 return dict:get(ip)
 end
 -- 获取客户端 IP
 local function get_client_ip()
 return ngx.var.realip or "unknown"
 end
 -- 主逻辑
 -- local blacklist_loaded = load_blacklist_to_shared_memory()
 local client_ip = get_client_ip()
 if check_blacklist(client_ip) then
 ngx.log(ngx.ERR, "IP " .. client_ip .. " is blacklisted")
 ngx.exit(ngx.HTTP_FORBIDDEN)
 end
 -- 根据请求路径分发处理逻辑
 local uri = ngx.var.uri
 if uri == "/reload-blacklist" then
 -- 添加 IP 条件判断
 local allowed_ip_prefix = "172.31"
 local client_ip_prefix = string.sub(client_ip, 1, #allowed_ip_prefix)
 if client_ip_prefix ~= allowed_ip_prefix then
 ngx.log(ngx.ERR, "Access forbidden for IP: " .. client_ip)
 ngx.exit(ngx.HTTP_FORBIDDEN)
 end
 -- 重新加载黑名单到共享内存
 local reloaded = load_blacklist_to_shared_memory()
 if reloaded then
 ngx.say("Blacklist reloaded successfully.")
 else
 ngx.say("Blacklist file not found or is empty. No changes made.")
 end
 end

可以自定义访问reload-blacklist路径的url就进行刷新黑名单ip，allowed_ip_prefix对访问进来的ip进行白名单限制

最后定义iplist.txt就可以了，每个ip为一行，init.lua和blacklist.lua中用io.open定义iplist.txt的路径

iplist.txt

1.2.3.4
1a:d8:eb:42:91:f8

进行reload程序就可以使用了，在这个自动化的基础上，配合日志系统，根据自定义规则就可以自动化的屏蔽异常ip；
异常ip输出到error日志中

博主使用过loki日志系统和elk日志系统，都可以根据一定时间内ip次数到达多少就自动屏蔽ip；运维从此不再半夜起床排查异常ip；
后续更新这篇博客，加入跳转链接，敬请期待；