cookbooks/nominatim/templates/default/nginx.erb

   1 map $uri $nominatim_script_name {
   2     ~^(.+?\.php)         $1;
   3     ~^/([^/]+)           $1.php;
   4     ^$                   search.php;
   5 }
   6
   7 map $uri $nominatim_path_info {
   8     ~^/([^/]+)(.*)$      $2;
   9 }
  10
  11 map $query_string $email_id {
  12     ~(^|&)email=([^&]+)  $2;
  13 }
  14
  15 upstream nominatim_service {
  16   server 127.0.0.1:<%= @pools[:www][:port ]%>;
  17 }
  18
  19 # Whitelisted IPs
  20 geo $whitelisted {
  21     default 0;
  22 <% @frontends.each do |frontend| -%>
  23 <% frontend.ipaddresses(:role => :external) do |address| -%>
  24     <%= address %> 1;
  25 <% end -%>
  26 <% end -%>
  27     46.235.224.148 1;
  28     209.132.180.180 1;
  29     209.132.180.168 1;
  30     8.43.85.23 1; # gnome
  31 }
  32
  33 map $http_user_agent $blocked_user_agent {
  34    default 0;
  35    include <%= @confdir %>/nginx_blocked_user_agent.conf;
  36 }
  37
  38 map $http_referer $blocked_referrer {
  39    default 0;
  40    include <%= @confdir %>/nginx_blocked_referrer.conf;
  41 }
  42
  43 map $whitelisted $limit_www {
  44     1 "";
  45     0 $binary_remote_addr;
  46 }
  47
  48 map $blocked_user_agent $limit_tarpit {
  49     0 "";
  50     1 $binary_remote_addr;
  51     2 $binary_remote_addr;
  52 }
  53
  54 limit_req_zone $limit_www zone=www:50m rate=2r/s;
  55 limit_req_zone $limit_tarpit zone=tarpit:10m rate=1r/s;
  56 limit_req_zone $binary_remote_addr zone=blocked:10m rate=20r/m;
  57
  58 server {
  59     listen 80 default_server;
  60     listen [::]:80 default_server;
  61
  62     access_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-access.log combined;
  63     error_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-error.log;
  64
  65     location /nginx_status {
  66         stub_status on;
  67         access_log   off;
  68         allow 127.0.0.1;
  69         allow ::1;
  70         deny all;
  71     }
  72
  73      rewrite ^/\.well-known/acme-challenge/(.*)$ http://acme.openstreetmap.org/.well-known/acme-challenge/$1 permanent;
  74
  75      location / {
  76          return 301 https://$host$request_uri;
  77      }
  78 }
  79
  80 server {
  81     # IPv4
  82     listen       443 ssl deferred backlog=16384 reuseport fastopen=2048 http2 default_server;
  83     # IPv6
  84     listen       [::]:443 ssl deferred backlog=16384 reuseport fastopen=2048 http2 default_server;
  85     server_name  localhost;
  86
  87     ssl_certificate /etc/ssl/certs/<%= node[:fqdn] %>.pem;
  88     ssl_certificate_key /etc/ssl/private/<%= node[:fqdn] %>.key;
  89
  90     root <%= @directory %>/website;
  91     index search.php;
  92
  93     access_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-access.log combined;
  94     error_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-error.log;
  95
  96     location /nginx_status {
  97         stub_status on;
  98         access_log   off;
  99         allow 127.0.0.1;
 100         allow ::1;
 101         deny all;
 102     }
 103
 104     error_page 403 /403.html;
 105     location /403.html {
 106         limit_req zone=blocked burst=5;
 107     }
 108
 109     error_page 429 /509.html;
 110     location /509.html {
 111         limit_req zone=blocked burst=5;
 112     }
 113
 114     location / {
 115         set $anyid $http_referer$http_user_agent$email_id;
 116         if ($anyid = "")
 117         { return 403; }
 118         if ($blocked_user_agent ~ ^2$)
 119         { return 403; }
 120         if ($blocked_referrer)
 121         { return 403; }
 122
 123         try_files $uri $uri/ @php;
 124     }
 125
 126     location @php {
 127         limit_req zone=www burst=10;
 128         limit_req zone=tarpit burst=2;
 129         limit_req_status 429;
 130         fastcgi_pass nominatim_service;
 131         include fastcgi_params;
 132         fastcgi_param QUERY_STRING    $args;
 133         fastcgi_param PATH_INFO       "$nominatim_path_info";
 134         fastcgi_param SCRIPT_FILENAME  "$document_root/$nominatim_script_name";
 135     }
 136
 137     location ~* \.php$ {
 138         limit_req zone=www burst=10;
 139         limit_req zone=tarpit burst=2;
 140         limit_req_status 429;
 141         fastcgi_pass    nominatim_service;
 142         include         fastcgi_params;
 143         fastcgi_param   SCRIPT_FILENAME    $document_root$fastcgi_script_name;
 144     }
 145 }