Category: Cloudflare

Cloudflare 配合nginx 来禁止某些国家, user agent 的访问

Cloudflare, Nginx

其实目前cloudflare 的免费版已经在control panel 里面可以完美的实现这些功能，但是cloudflare 能做到的只是禁止某些国家或者user agent 的访问，如果我们想更好的优化这些流量，比如说对不同的geo跳转到不同的网站，或者对于某些蜘蛛来说显示不同的网站，那么就需要nginx 的配合了, 在这里我们主要利用的是nginx 的map 这个功能.

对于geo 的控制

如果你的网站在cloudflare 的保护下，那么cloudflare 默认会在header里面加上’HTTP_CF_IPCOUNTRY’, 这就相当于cloudflare 提供了免费的IP数据库，利用nginx 的map 功能，比如说禁止来自US, CA, UK, AU的流量, 那就就可以按照如下配置:

在nginx 的全局中

map $http_cf_ipcountry $allow {
default yes;
US no;
CA no;
UK no;
AU no;
}

在server中

if ($allow = no) {
return 403;
}

在这里需要注意的是，按照nginx 的官方文档，map 只能位于http block里面，return 就比较自由了，可以在server，location block里面

深入一点，return的可以不仅仅是403，还可以是301， 302等等，比如说把US，CA，UK和 AU 的流量跳转到google，可以这么配置:

if ($allow = no) {
return 301 https://www.google.com;
}

在更加深入一点，活用map功能，我们可以不仅仅是map GEO，还可以map user agent等等，这里就需要正则的配合了.

Nginx 前挂Cloudflare 后的日志分析

Adserver, Cloudflare, NginxLeave a comment

将nginx服务器隐藏在cloudflare 服务后端，在nginx 的默认access log里面显示的IP 都是cloudflare，因此我们需要把日志中的访问IP改成真正的用户IP. 有很多种办法可以实现，但是下面的这种办法应该是最简单的.

Cloudflare 用X-Forwarded-For这个header 来传递用户的真实IP，因此我们只需要在nginx 的conf中，设置一个新的nginx log format就可以.

默认的nginx access log format 是:

log_format combined '$remote_addr - $remote_user [$time_local] '
                    '"$request" $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent"';

我们可以添加一个新的log format:

log_format csf '$http_x_forwarded_for - $remote_user [$time_local] '
                    '"$request" $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent"';

access log 可以设置成类似于这样的:

access_log /your/access/log/path csf;

这样，用户的真实IP就会展现在access log里面了