Как ограничить доступ к сервисам на разных портах по IP и разрешить по домену? Nginx, Linux, Docker

Question

На моем сервере (с единственным IP-адресом) работают несколько сервисов на разных портах. Nginx также работает на портах 80 и 443 для обслуживания страниц по запросам к доменам. Все сервисы и nginx запускаются через docker-compose. Как мне отклонить все внешние запросы к IP-адресу (например, к 56.56.56.56:3000 или к 56.56.56.56), но в то же время разрешить все запросы к доменным именам, используя nginx, iptables, файрвол и другие инструменты разработки? Все работает на сервере Ubuntu 22.04.

nginx.conf

http {
    limit_conn_zone $binary_remote_addr zone=conn_limit_per_ip:10m;
    limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=5r/s;

    server {
        listen 80 default_server;
        server_name my.domain www.my.domain;

        return 301 https://$host$request_uri;
    }

    server {
        listen 443 ssl;
        server_name my.domain;

        ssl_certificate /etc/nginx/ssl/my.domain/fullchain.pem;
        ssl_certificate_key /etc/nginx/ssl/my.domain/privkey.pem;

        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers HIGH:!aNULL:!MD5;

        client_body_timeout 10s;
        client_header_timeout 10s;
        keepalive_timeout 10s;
        send_timeout 10s;

        location / {
            proxy_pass http://56.56.56.56:3002; # адрес для примера
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;

            limit_conn conn_limit_per_ip 10;
            limit_req zone=req_limit_per_ip burst=10 nodelay;
        }
    }
    ...
}

docker-compose.yml

...
  site:
    build:
      context: ...
      dockerfile: Dockerfile
    restart: unless-stopped
    ports:
      - "3002:3002"
    logging:
      driver: "json-file"
      options:
        max-size: "1m"
        max-file: "1"

  nginx:
    image: nginx:latest
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx/nginx.conf:/etc/nginx/nginx.conf
      - ./nginx/ssl/:/etc/nginx/ssl/

  grafana:
    image: grafana/grafana:latest
    ports:
      - '3000:3000'
    volumes:
      - grafana-data:/var/lib/grafana
...

Заранее спасибо!

Важно

Если я пытаюсь ограничить внешние TCP-запросы через iptables и разрешить только внутренние (так, чтобы запросы можно было отправлять извне только через nginx, т.е. к домену), файрвол блокирует даже запросы, проходящие через nginx. Я думал, что при отправке запросов к доменам они маршрутизируются через nginx, так что файрвол считает запросы отправленными с локального IP.
Если я запускаю все службы локально на машине (например, app.run("127.0.0.1", port=3000)), nginx этого не обнаруживает, что означает, что proxy_pass http://127.0.0.1:3000 не сработает. Я подумывал запустить все службы локально, чтобы они не могли быть доступны напрямую извне, но nginx все равно мог бы к ним обращаться, так как он работает в том же контейнере, но только через запросы к доменам. Однако по какой-то причине я получаю ошибку “соединение отклонено”, когда nginx пытается запросить 127.0.0.1.

Как ограничить доступ к сервисам на разных портах по IP и разрешить по домену? Nginx, Linux, Docker

Вопрос или проблема

Ответ или решение

1. Настройка Nginx

2. Настройка Docker Compose

3. Настройка Firewall (iptables или UFW)

4. Дополнительные рекомендации