Go + echoで社内からのみアクセスできるAPIを作る

背景

社内システムからのみアクセスできる（パブリックからはアクセスできない）APIを作成したい。
今回は、IPアドレスでアクセスできる／できないを切り替えるようにする。

方法

echoにはミドルウェアという概念がある。
https://echo.labstack.com/cookbook/middleware

アクセス元のIPアドレスを見て、アクセス元のIPアドレスが指定したネットワークに属さない場合に403 Forbiddenを返すようなミドルウェアを作る。

ミドルウェア使用例

e.GET("/internal/hoge", internal.Hoge, middleware.InternalAccess()) // 社内からしかアクセスできない
e.GET("/internal/huga", internal.Huga, middleware.InternalAccess()) // 社内からしかアクセスできない

e.GET("/public/piyo", public.Piyo) // 社外からアクセスできる

internal_access.go

package middleware

import (
	"errors"
	"net/http"
	"github.com/labstack/echo"
)

// InternalAccess は社内アクセスのみを許可するためのミドルウェア
func InternalAccess() echo.MiddlewareFunc {
	return func(next echo.HandlerFunc) echo.HandlerFunc {
		return func(c echo.Context) error {
			networkUtil := app.NewNetworkUtil()

			isPrivateAddress := networkUtil.IsPrivateAddress(c.RealIP())

			if !isPrivateAddress {
				return cc.String(http.StatusForbidden, "public access is forbidden.")
			}

			return next(c)
		}
	}
}

network_util.go

package app

import "net"

// NetworkUtil はIPがネットワークに所属するかどうか調べる
type NetworkUtil struct {
	networks []*net.IPNet
}

// NewNetworkUtil はNetworkUtilを作る
func NewNetworkUtil() *NetworkUtil {
	nu := new(NetworkUtil)

	// TODO: ここを設定ファイルに出す
	networks := []string{
		// ローカルマシン
		"10.0.0.0/8",
		"172.16.0.0/12",
		"192.168.0.0/16",
		"127.0.0.0/8",
		"::1/128", // ipv6ローカルホスト用

		// オフィスネットワーク
		"xx.xxx.xxx.xx/32", // current

		// データセンター
		"xxx.xxx.xx.0/24",
		"xxx.xxx.xx.128/25",
		"xxx.xxx.xx.64/26",
	}

	for _, v := range networks {
		_, ipnet, err := net.ParseCIDR(v)
		if err != nil {
			continue
		}

		nu.networks = append(nu.networks, ipnet)
	}

	return nu
}

// IsPrivateAddress はプライベートアドレスかどうかを調べる
func (nu NetworkUtil) IsPrivateAddress(ipString string) bool {
	ip := net.ParseIP(ipString)

	if ip == nil {
		return false
	}

	for _, v := range nu.networks {
		if v.Contains(ip) {
			return true
		}
	}

	return false
}

感想

• ParseIPとParseCIDRは便利