cookbooks/nominatim/templates/default/nginx.erb

   1 upstream nominatim_service {
   2 <% if node[:nominatim][:api_flavour] == "php" %>
   3   server unix:/run/php/php-nominatim.openstreetmap.org-fpm.sock fail_timeout=0;
   4 <% elsif node[:nominatim][:api_flavour] == "python"  %>
   5   server unix:/run/gunicorn-nominatim.openstreetmap.org.sock fail_timeout=0;
   6 <% end -%>
   7 }
   8
   9 map $uri $nominatim_script_name {
  10     ~^/*(.+?)\.php        $1;
  11     ~^/*([^/]+)           $1;
  12     ^$                   search;
  13 }
  14
  15 map $uri $nominatim_path_info {
  16     ~^/([^/]+)(.*)$      $2;
  17 }
  18
  19 map $args $format {
  20     default                  default;
  21     ~(^|&)format=html(&|$)   html;
  22     ~(^|&)format=            other;
  23 }
  24
  25 map $uri/$format $forward_to_ui {
  26     default               1;
  27     ~^/ui                 0;
  28     ~/other$              0;
  29     ~/reverse.*/default   0;
  30     ~/lookup.*/default    0;
  31     ~/status.*/default    0;
  32 }
  33
  34 map $query_string $email_id {
  35     ~(^|&)email=([^&]+)  $2;
  36 }
  37
  38 map $email_id $missing_email {
  39     default "";
  40     "" 1;
  41 }
  42
  43 map $http_user_agent $missing_ua {
  44     default "";
  45     "" 1;
  46 }
  47
  48 map $http_referer $missing_referer {
  49     default "";
  50     "" 1;
  51 }
  52
  53 # Whitelisted IPs
  54 geo $whitelisted {
  55     default 0;
  56 <% @frontends.each do |frontend| -%>
  57 <% frontend.ipaddresses(:role => :external).sort.each do |address| -%>
  58     <%= address %> 1;
  59 <% end -%>
  60 <% end -%>
  61     46.235.224.148 1;
  62     209.132.180.180 1;
  63     209.132.180.168 1;
  64     8.43.85.3 1; # gnome
  65     8.43.85.4 1; # gnome
  66     8.43.85.5 1; # gnome
  67     2620:52:3:1:5054:ff:fe0a:75a4 1; # gnome
  68     2620:52:3:1:5054:ff:fe0a:75a2 1; # gnome
  69     2620:52:3:1:5054:ff:fe0a:75aa 1; # gnome
  70     34.234.151.67 1; # gnome - https://github.com/openstreetmap/operations/issues/1160
  71     54.165.53.199 1; # gnome - https://github.com/openstreetmap/operations/issues/1160
  72     35.153.15.118 1; # gnome - https://github.com/openstreetmap/operations/issues/1160
  73 }
  74
  75 map $server_protocol$http_user_agent $cleaned_user_agent {
  76     default $http_user_agent;
  77     "~^HTTP/1..Mozilla/" Script$http_user_agent;
  78 }
  79
  80 map $missing_email$missing_referer$cleaned_user_agent $blocked_user_agent {
  81    default 0;
  82    "11" 2; # block any requests without identifier
  83    include <%= @confdir %>/nginx_blocked_user_agent.conf;
  84 }
  85
  86 map $missing_email$missing_ua$http_referer $blocked_referrer {
  87    default 0;
  88    include <%= @confdir %>/nginx_blocked_referrer.conf;
  89 }
  90
  91 map $missing_referer$missing_ua$email_id $blocked_email {
  92    default 0;
  93    include <%= @confdir %>/nginx_blocked_email.conf;
  94 }
  95
  96 map $whitelisted $limit_www {
  97     1 "";
  98     0 $binary_remote_addr;
  99 }
 100
 101 map $blocked_user_agent $limit_tarpit {
 102     0 "";
 103     1 $binary_remote_addr;
 104     2 $binary_remote_addr;
 105 }
 106
 107 map $missing_email$missing_referer$http_user_agent $generic_mozilla {
 108     default 0;
 109     ~^11Mozilla/4.0 1;
 110     ~^11Mozilla/5.0 2;
 111 }
 112
 113 map $whitelisted$generic_mozilla$uri $limit_reverse {
 114     default "";
 115     ~01/reverse.*  $binary_remote_addr;
 116     ~02/reverse.*  $binary_remote_addr;
 117 }
 118
 119 limit_req_zone $limit_www zone=www:50m rate=2r/s;
 120 limit_req_zone $limit_tarpit zone=tarpit:10m rate=1r/s;
 121 limit_req_zone $binary_remote_addr zone=blocked:10m rate=20r/m;
 122 limit_req_zone $limit_reverse zone=reverse:10m rate=10r/m;
 123
 124 server {
 125     listen 80 default_server;
 126     listen [::]:80 default_server;
 127
 128     access_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-access.log combined;
 129     error_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-error.log;
 130
 131     location /nginx_status {
 132         stub_status on;
 133         access_log   off;
 134         allow 127.0.0.1;
 135         allow ::1;
 136         deny all;
 137     }
 138
 139      rewrite ^/\.well-known/acme-challenge/(.*)$ http://acme.openstreetmap.org/.well-known/acme-challenge/$1 permanent;
 140
 141      location / {
 142          return 301 https://$host$request_uri;
 143      }
 144 }
 145
 146 server {
 147     # IPv4
 148     listen       443 ssl http2 default_server;
 149     # IPv6
 150     listen       [::]:443 ssl http2 default_server;
 151     server_name  localhost;
 152
 153     ssl_certificate /etc/ssl/certs/<%= node[:fqdn] %>.pem;
 154     ssl_certificate_key /etc/ssl/private/<%= node[:fqdn] %>.key;
 155
 156     root <%= @directory %>/static-website;
 157     index /search;
 158
 159     access_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-access.log combined;
 160     error_log <%= node[:nominatim][:logdir] %>/nominatim.openstreetmap.org-error.log;
 161
 162     location /nginx_status {
 163         stub_status on;
 164         access_log   off;
 165         allow 127.0.0.1;
 166         allow ::1;
 167         deny all;
 168     }
 169
 170     error_page 403 /403.html;
 171     location /403.html {
 172         limit_req zone=blocked burst=5;
 173     }
 174
 175     error_page 429 /509.html;
 176     location /509.html {
 177         limit_req zone=blocked burst=5;
 178     }
 179
 180     location / {
 181         try_files $uri $uri/ @php;
 182     }
 183
 184     location /ui/ {
 185         alias <%= @ui_directory %>/dist/;
 186         index search.html;
 187     }
 188
 189     location /qa-data/ {
 190         add_header Access-Control-Allow-Origin "*" always;
 191     }
 192
 193     location ~* ^/(search|reverse)(\.php)?/ {
 194         error_page 404 /404-old-search-syntax.html;
 195         return 404;
 196     }
 197
 198     location @php {
 199         if ($forward_to_ui) {
 200             rewrite ^(/[^/]*) https://$host/ui$1.html redirect;
 201         }
 202         if ($blocked_user_agent ~ ^2$)
 203         { return 403; }
 204         if ($blocked_referrer)
 205         { return 403; }
 206         if ($blocked_email)
 207         { return 403; }
 208         if ($args ~* "q=[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+[ &]")
 209         { return 418; }
 210         include <%= @confdir %>/nginx_blocked_generic.conf;
 211
 212         limit_req zone=www burst=10;
 213         limit_req zone=tarpit burst=5;
 214         limit_req zone=reverse burst=5;
 215         limit_req_status 429;
 216 <% if node[:nominatim][:api_flavour] == "php" %>
 217         fastcgi_pass nominatim_service;
 218         include fastcgi_params;
 219         fastcgi_param QUERY_STRING    $args;
 220         fastcgi_param PATH_INFO       "$nominatim_path_info";
 221         fastcgi_param SCRIPT_FILENAME  "<%= @directory %>/website/$nominatim_script_name";
 222 <% elsif node[:nominatim][:api_flavour] == "python" %>
 223
 224         if ($request_method = 'OPTIONS') {
 225           add_header 'Content-Type' 'text/plain; charset=UTF-8';
 226           add_header 'Content-Length' 0;
 227           add_header Access-Control-Allow-Origin "*";
 228           add_header Access-Control-Allow-Methods 'GET,OPTIONS';
 229           add_header Access-Control-Allow-Headers $http_access_control_request_headers;
 230           return 204;
 231         }
 232
 233         proxy_set_header Host $http_host;
 234         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 235         proxy_set_header X-Forwarded-Proto $scheme;
 236         proxy_redirect off;
 237         proxy_pass http://nominatim_service;
 238 <% end -%>
 239     }
 240
 241 <% if node[:nominatim][:api_flavour] == "php" %>
 242     location ~* \.php$ {
 243         if ($blocked_user_agent ~ ^2$)
 244         { return 403; }
 245         if ($blocked_referrer)
 246         { return 403; }
 247         if ($blocked_email)
 248         { return 403; }
 249         include <%= @confdir %>/nginx_blocked_generic.conf;
 250
 251         limit_req zone=www burst=10;
 252         limit_req zone=tarpit burst=2;
 253         limit_req zone=reverse burst=5;
 254         limit_req_status 429;
 255         fastcgi_pass    nominatim_service;
 256         include         fastcgi_params;
 257         fastcgi_param   SCRIPT_FILENAME    <%= @directory %>/website/$fastcgi_script_name;
 258
 259         if ($forward_to_ui) {
 260             rewrite (.*).php https://$host/ui$1.html redirect;
 261         }
 262     }
 263 <% end -%>
 264 }