[Pixiv] Nginx 真·反代P站

需要使用哪些域？#

在反代时我们需要用到以下几个域

如果你愿意使用一个船新域名专门反代：

1
example.com
2
*.example.com
3
*.pximg.example.com

• example.com 随意，你可以放点自己的东西做一些伪装或者说明，或者直接 301 到www.example.com
• *.example.com 用于反代对齐*.pixiv.net
• *.pximg.example.com 用于反代对齐*.pximg.net，其实该域名中的pximg也可以替换成其他的字符串，只要不与P站的二级域名服务产生冲突即可

如果你想用一个自己正在使用的域名反代并且不想影响该域名的其他服务：

1
pixiv.example.com
2
*.pixiv.example.com
3
*.pximg.example.com

各自作用同上，在后续配置上灵性修改即可

获取证书#

如果你愿意套 CloudFlare，你可以跳过这一节

使用 acme 的 DNS API 方式进行挑战验证来签发证书是最方便的

参考以下文章

使用 acme.sh 申请 Let's Encrypt 泛域名SSL证书详细教程

Let's Encrypt 泛域名SSL已经出来挺长一段时间了，昨天才有需要，因此尝试了一下部署。 一开始看的是 Leonn 的教程，但不是很详细，自己弄懂了流程之后决定写一篇详细一点的教程（使用 CloudXNS 的 API 添加记录进行验证）。

2018-04-01教程#acme.sh#证书#泛域名#dns

在配置好 API 之后我们使用这样的命令即可签发一个我们想要的三域名合一的证书了，并且还能自动续签，岂不美哉

1
~/.acme.sh/acme.sh --issue --dns dns_cx -d example.com -d '*.example.com' -d '*.pximg.example.com'

基础配置#

这里仅列出关键配置，通常配置例如listen、expires、cache以及 SSL 之类的不会写出，自行添加

1
# *.example.com
2
server
3
{
4
  server_name ~^([^.]+)\.example\.com$;
5
  set $domain $1;
6

7
  resolver 8.8.8.8;
8

9
  location ~ .*
10
  {
11
    proxy_set_header Host $domain.pixiv.net;
12
    proxy_set_header Referer "https://www.pixiv.net";
13
    proxy_cookie_domain pixiv.net example.com;
14
    proxy_pass https://$domain.pixiv.net;
15
    proxy_ssl_server_name on;
16
    proxy_set_header Accept-Encoding "";
17
    proxy_redirect https://accounts.pixiv.net/ https://accounts.example.com/;
18

19
    sub_filter "i-cf.pximg.net" "i.example.com";
20
    sub_filter "pixiv.net" "example.com";
21
    sub_filter "pximg.net" "pximg.example.com";
22
    # 防止错误上报暴露站点
23
    sub_filter "js_error.php" "block_js_error";
24
    # 防止谷歌服务暴露站点，同时也可以加快网站加载
25
    sub_filter "www.google" "block_google";
26
    sub_filter_once off;
27
    sub_filter_types *;
28
  }
29
}
30

31
# *.pximg.example.com
32
server
33
{
34
  server_name ~^([^.]+)\.pximg\.example\.com$;
35
  set $domain $1;
36

37
  resolver 8.8.8.8;
38

39
  location ~ .*
40
  {
41
    proxy_set_header Host $domain.pximg.net;
42
    proxy_set_header Referer "https://www.pixiv.net";
43
    proxy_pass https://$domain.pximg.net;
44
    proxy_ssl_server_name on;
45
    proxy_set_header Accept-Encoding "";
46

47
    sub_filter "i-cf.pximg.net" "i.example.com";
48
    sub_filter "pixiv.net" "example.com";
49
    sub_filter "pximg.net" "pximg.example.com";
50
    # 防止错误上报暴露站点
51
    sub_filter "js_error.php" "block_js_error";
52
    # 防止谷歌服务暴露站点，同时也可以加快网站加载
53
    sub_filter "www.google" "block_google";
54
    sub_filter_once off;
55
    sub_filter_types *;
56
  }
57
}

详解#

• server_name 与 set 使用正则表达式匹配以方便直接提取出我们要反代的二级域名
• resolver 必要，指定域名解析所用 DNS，因为在后续proxy_pass中我们要反代的域名是由$domain决定，本身是不定的，Nginx 必须被指定 DNS 才能处理域名解析
• proxy_cookie_domain 改变反代后返回的 header 中 set-cookie 里 cookie 对应的域名，只在*.example.com中需要，是解决登陆问题的关键，如想了解后续文章会解释
• proxy_ssl_server_name 由于 P 站开始上 CF 了，其 TLS 启用了 SNI，因此必须指定此项为on，否则会握手失败
• proxy_set_header Referer 设置 header 中的 Referer，主要目的是解决i.pximg.net的防盗链问题，以及www.pixiv.net的部分 API 的 Referer 验证问题
• proxy_set_header Accept-Encoding 将接受的压缩编码设为空，即不接受压缩，因为sub_filter无法对压缩过的内容起效
• proxy_redirect 将返回原站 302 的请求进行重定向
• sub_filter 将反代后得到的内容进行字符串替换，以保证链接域名等与反代域名一致
• sub_filter_types 必须设置为*，否则默认对于 API 返回的 json 内容等不会进行替换，会导致依靠 ajax 运作的一些功能的异常

防止被搜索引擎收录#

在 Nginx 配置中向每个 server 添加此句

1
  if ($http_user_agent ~* "qihoobot|Baiduspider|Googlebot|Googlebot-Mobile|Googlebot-Image|Mediapartners-Google|Adsbot-Google|Feedfetcher-Google|Yahoo! Slurp|Yahoo! Slurp China|YoudaoBot|Sosospider|Sogou spider|Sogou web spider|MSNBot|ia_archiver|Tomato Bot|^$") {
2
    return 403;
3
  }

请加到set $domain $1;这句之后，因为该配置也使用了正则表达式，会导致$1改变

禁止大陆外IP访问#

由于反代P站的受众只可能为大陆内用户，因此我们完全可以禁止大陆外IP访问反代站，同时还能防止P站检测投诉

但请注意，这个方案是对整台 VPS 的80与443端口生效，这意味着你如果同时在 VPS 上布置了其他站点，他们也将无法被大陆外用户访问

如果需要仅对反代站点生效，请自行百度参考“nginx geoip”，或者使用后面所述的套 CloudFlare 的方式

参考步骤：

1. 安装 ipset

1
# Debian / Ubuntu
2
apt-get -y install ipset
3
# CentOS
4
yum -y install ipset

1. 创建一个 ipset 并添加大陆IP作为白名单

1
ipset -N cnip hash:net
2
for i in $(curl https://raw.githubusercontent.com/17mon/china_ip_list/master/china_ip_list.txt); do ipset -A cnip $i; done
3
# 如果你想要添加单个IP x.x.x.x 进此白名单
4
ipset -A cnip x.x.x.x/32

1. 写入防火墙规则（顺序十分重要，请不要改变执行顺序）

1
iptables -I INPUT -p tcp --dport 443 -j DROP
2
iptables -I INPUT -p tcp --dport 80 -j DROP
3
iptables -I INPUT -p tcp -m set --match-set cnip src -j ACCEPT

套 CloudFlare#

除了上述方案外，我自己是套了层 CloudFlare，并设置了防火墙规则来阻止非国内以及搜索引擎爬虫访问

这样有个优点，一是 SSL 证书都是 Cloudflare 自动签发和续期的，因此使用 Flexible SSL 选项，然后源反代站就不需要操心证书的事了，直接使用 HTTP；二是 Cloudflare 的防火墙可以实现上面提到的屏蔽国内 IP 以及搜索引擎的功能，不需要自己去维护

当然这样是有缺点的，就是设置 DNS 记录

Cloudflare CDN 是不支持设置泛域名记录的

因此我们只能一条一条记录加，首次部署简直是要了命，以下列出主站功能相关域名：

1
www.pixiv.net
2
accounts.pixiv.net
3
source.pixiv.net
4
imp.pixiv.net
5

6
i.pximg.net
7
s.pximg.net
8
pixiv.pximg.net

其他的例如小说、直播等等我个人使用频率很低所以我就不考虑了，当然如果你有需求就自己找域名吧（