Setelah panel berada di balik Nginx + HTTPS, tambahkan dua lapisan klasik namun efektif: Basic Auth berbasis htpasswd dan IP whitelist via allow/deny. Lengkapi dengan fail2ban untuk menghalau brute force.
# pasang utilitas htpasswd sudo apt install -y apache2-utils # Debian/Ubuntu sudo dnf install -y httpd-tools # AlmaLinux/RHEL # -c membuat file baru, -B memakai bcrypt (kuat) sudo htpasswd -B -c /etc/nginx/.htpasswd admin # tambah user lain (tanpa -c agar tidak menimpa file) sudo htpasswd -B /etc/nginx/.htpasswd devops
-c hanya saat pertama kali. Menjalankannya lagi akan menimpa seluruh file dan menghapus user lain.server {
listen 443 ssl http2;
server_name panel.contoh.com;
# ... blok ssl dari panduan sebelumnya ...
location / {
auth_basic "Area Terbatas nusabet88";
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}
sudo nginx -t && sudo systemctl reload nginx
Batasi akses hanya dari subnet kantor atau IP exit VPN. Urutan penting: allow dulu, lalu deny all.
location / {
# jaringan tepercaya
allow 203.0.113.0/24; # subnet kantor
allow 198.51.100.10; # IP exit VPN
deny all; # tolak sisanya
auth_basic "Area Terbatas nusabet88";
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://127.0.0.1:8080;
}
allow/deny, lalu tetap minta Basic Auth. Penyerang harus berada di VPN dan tahu kredensial.$remote_addr bisa berisi IP proxy. Gunakan modul realip dan set_real_ip_from agar whitelist mengevaluasi IP asli klien.# /etc/fail2ban/jail.d/nginx-auth.conf
[nginx-http-auth]
enabled = true
filter = nginx-http-auth
port = http,https
logpath = /var/log/nginx/error.log
maxretry = 5
findtime = 600
bantime = 3600
# aktifkan & cek status jail
sudo systemctl enable --now fail2ban
sudo fail2ban-client status nginx-http-auth
Filter nginx-http-auth sudah disertakan fail2ban dan mengenali baris user ... password mismatch di error log. Setelah 5 kegagalan dalam 10 menit, IP diblokir 1 jam.
.htpasswd di dalam webroot yang bisa diakses publik.Basic Auth adalah lapisan pertama yang baik, tetapi sebaiknya dikombinasikan dengan HTTPS (agar kredensial tidak dikirim polos) dan pembatasan IP atau VPN. Basic Auth tanpa TLS sama dengan mengirim password dalam teks biasa. Lapisan berganda jauh lebih sulit ditembus.
Secara default htpasswd modern memakai bcrypt bila Anda menambahkan flag -B. Hindari format lama seperti crypt atau MD5 (apr1) untuk produksi. Gunakan htpasswd -B agar hash kuat dan tahan brute force.
Gunakan direktif allow/deny (modul ngx_http_access_module) di blok location. Daftarkan subnet kantor atau IP gateway VPN dengan allow, lalu deny all untuk sisanya. Pendekatan ini efektif bila tim memakai IP statis atau VPN dengan exit IP tetap.
fail2ban memantau log Nginx dan memblokir IP yang berkali-kali gagal autentikasi. Ini melindungi dari brute force terhadap Basic Auth. Anda mendefinisikan filter untuk pola 401 lalu jail yang memblokir IP pelanggar lewat firewall selama durasi tertentu.
Lihat praktik terbaik keamanan menyeluruh untuk cluster dan panel di lingkungan produksi.
Best Practices Keamanan