求助：openwrt公网https无法访问报错403 Forbidden（nginx）

wangshidong9

现状：
openwet安装在群晖虚拟机上
固件是openwrt.ai创建的，后台web服务器是nginx
80和443端口修改成8007和8010
内网http和https都可以访问，https提示不安全。
公网http可以访问，https提示403 Forbidden。


求助：
1、实现https公网访问和ssl设置。
2、开启http自动跳转https。
3、还有可以在内网不加端口号直接用IP访问。


万分感谢！！！！！




现在有几个文件内容是这样：


1、/etc/config/nginx   

config main 'global'
        option uci_enable 'true'

config server '_lan'
        option server_name '_lan'
        list include 'restrict_locally'
        list include 'conf.d/*.locations'
        option uci_manage_ssl 'self-signed'
        option ssl_certificate '/etc/nginx/conf.d/_lan.crt'
        option ssl_certificate_key '/etc/nginx/conf.d/_lan.key'
        option ssl_session_cache 'shared:SSL:32k'
        option ssl_session_timeout '64m'
        option access_log 'off; # logd openwrt'
        list listen '8010 ssl default_server'
        list listen ' [::]:8010 ssl default_server'

config server 'op'
        option server_name 'op'
        list include 'conf.d/*.locations'
        option access_log 'off; # logd openwrt'
        list listen '8007'
        list listen '[::]:8007'


2、/etc/nginx/conf.d/luci.locations

location /cgi-bin/luci {
                index  index.html;
                include uwsgi_params;
                uwsgi_read_timeout 300s;
                uwsgi_param SERVER_ADDR $server_addr;
                uwsgi_modifier1 9;
                uwsgi_pass unix:////var/run/luci-webui.socket;
}
location ~ /cgi-bin/cgi-(backup|download|upload|exec) {
                include uwsgi_params;
                uwsgi_read_timeout 300s;
                uwsgi_param SERVER_ADDR $server_addr;
                uwsgi_modifier1 9;
                uwsgi_pass unix:////var/run/luci-cgi_io.socket;
}

location /luci-static {
                error_log stderr crit;
}

location /ubus {
        ubus_interpreter;
        ubus_socket_path /var/run/ubus/ubus.sock;
        ubus_parallel_req 2;
}


3、/etc/nginx/nginx.conf  这个没有内容。

wangshidong9

对了，openwrt是旁路由模式

liningepdc

把 config server '_lan'
        option server_name '_lan'  
引号内的 _lan   修改为    op   就可以了。
config server 'op'
        option server_name 'op'

xiazunyang

解决了吗？我iStoreOS也这个问题

vpei

我的也是把防火墙关了就好，不关就出现这样的。

service firewall stop

vpei

找到原因了，是nginx配置的防火墙设置问题，需要修改文件restrict_locally，在里面添加错误日志中的IP，一般就是服务器的IP。还可以添加IPV6放行。root@openwrt:/etc/nginx# grep -rn deny .   注意目录或直接运行命令：cd /etc/nginx && grep -rn deny .

1.         allow 46.1.1.1/24; # 我加的让服务器所在IP的一些IP都能访问
   
2.         allow 2408::/10; # 我加的，可以放行ipv6
   
3.         allow 2409::/10; # 我加的，可以放行ipv6
   
4.         allow 240e::/10; # 我加的，可以放行ipv6
   
5.         deny all; # 这行是拒绝以上放行的其他IP
   

复制代码

求余

vpei 发表于 2024-10-31 14:45
找到原因了，是nginx配置的防火墙设置问题，需要修改文件restrict_locally，在里面添加错误日志中的IP，一 ...

感谢，再配合 openwrt 的系统防火墙转发一下自定义的端口到 443 就成功了

补充查到 ipv6 地址解释：
常见前缀
1. 240e::/20: 中国电信
2. 2409:8000::/20: 中国移动
3. 2408:8000::/20: 中国联通
4. 2000::/3: 全局单播地址。也就是全球可路由的公网地址。上述三个都属于这个。

还有一些，查资料知道的：

• 2400::/12：亚太地区常用地址段。
• 2600::/12：北美地区常用地址段。
  
  

我没关闭  op 的防火墙，只修改了 `/etc/nginx/restrict_locally` ，添加了上述亚太地区的地址段，重启 nginx 也能正常从公网访问路由器了

1. allow ::1;
   
2. allow 2400::/12;
   
3. allow fc00::/7;
   
4. allow fec0::/10;
   
5. allow fe80::/10;
   
6. allow 127.0.0.0/8;
   
7. allow 10.0.0.0/8;
   
8. allow 172.16.0.0/12;
   
9. allow 192.168.0.0/16;
   
10. allow 169.254.0.0/16;
    
11. deny all;

复制代码