Cómo denegar el acceso a recursos basados ​​en encabezados X-reenviados

Estoy tratando de restringir el acceso a los recursos detrás de Nginx en función de la IP del cliente aprobada en encabezados X-reenviados. Nginx se ejecuta en un contenedor en un clúster de Kubernetes en Google Cloud Platform y los ips reales del cliente se pasan solo en el encabezado x-forward-for

Hasta ahora he logrado hacerlo para una sola IP con el siguiente código:

set $allow false;
if ($http_x_forwarded_for ~* 123.233.233.123) {
    set $allow true;
}
if ($http_x_forward_for ~* 10.20.30.40) {
    set $allow false;
}
if ($allow = false) {
    return 403;
}

Pero, ¿cómo puedo hacer eso para rangos completos de IP? Especificar cientos de IP a mano no tiene mucho sentido.

Toda ayuda es apreciada

Use el módulo RealIP para honrar el valor del X-Forwarded-Forencabezado. Establezca set_real_ip_fromla dirección IP del proxy inverso (el valor actual de $remote_addr).

Por ejemplo:

server {
    ...
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;
    ...
}

Ahora debería poder usar $remote_addry allow/ o denydirectivas usando la verdadera dirección IP del cliente. Vea este documento para más información.

La respuesta de Richard ya contenía la información sobre cómo obtener la mejor dirección IP real para nginx.

Mientras tanto, en lo que respecta a la especificación de rangos de IP, puede usar http://nginx.org/en/docs/http/ngx_http_geo_module.html .

El geomódulo funciona como el mapmódulo, es decir, una variable obtiene valores asignados según el valor de la dirección IP.

Un ejemplo:

geo $allow {
    default 0;
    192.168.168.0/24 1;
}

server {
    real_ip_header X-Forwarded-For;
    set_real_ip_from 10.1.2.3;

    if ($allow = 0) {
        return 403;
    }
}

Aquí asignamos el geomapa, donde el valor predeterminado $allowes 0. Si la dirección IP está en la subred 192.168.168.0/24, $allowobtendrá el valor 1 y se permitirá la solicitud.

Puede tener tantas líneas en el geobloque como necesite para definir sus rangos de IP.

Tengo estos trabajando para mí.

geo $remote_addr $giveaccess {
      proxy 172.0.0.0/8; <-- Private IP range here
      default 0;
      11.22.33.44 1; <-- Allowed IP here
    }


server{
##
    location ^~ /secure_url_here {
        if ($giveaccess = 0){
          return 403; 
        }
        try_files $uri $uri/ /index.php?$args; <-- Add this line specific for your CMS, if required.
    }

Ref: http://nginx.org/en/docs/http/ngx_http_geo_module.html