专栏名称: Linux就该这么学

专注于Linux运维技术培训，让您学习的每节课都有所收获，订阅本号后可每天获得最新Linux运维行业资讯、最实用的Linux免费教程以及独家Linux考证资料，三十多万技术小伙伴的选择，Linux就该这么学！

运维工程师必看！Nginx 防火墙这样配：IP自动封禁+CC攻击防护，看完直呼内行

Linux就该这么学 · 公众号 · linux · 2025-03-20 08:02

正文

链接：https://www.cnblogs.com/hahaha111122222/p/18702355

在 Web 服务器中，Nginx 提供了一种简单而强大的方法来控制访问，允许管理员基于 IP 地址来设置黑名单（禁止访问）或白名单（仅允许特定 IP 访问）。本教程将介绍如何在 Nginx 配置黑白名单，并提供具体示例。

allow、deny

deny和allow指令属于ngx_http_access_module，nginx默认加载此模块，所以可直接使用。

在Nginx配置文件中定义允许访问系统的IP地址。假设您的Nginx配置文件位于 /etc/nginx/nginx.conf 或 /etc/nginx/sites-available/default。

直接配置文件中添加

server {
    listen 80;
    server_name your_domain_or_ip;

    # 设置白名单
    location / {
        allow 192.168.1.1;  # 允许特定IP访问
        allow 192.168.1.2;
        allow 192.168.1.3;
        allow 192.168.1.4;
        allow 192.168.1.5;
        allow 192.168.1.6;
        deny all;  # 拒绝所有其他IP访问
    }

    # 设置最高权限的运行维护IP
    location /admin {
        allow 192.168.1.7;  # 最高权限的运行维护IP
        deny all;
    }

    # 设置有限权限的维护IP
    location /limited {
        allow 192.168.1.8;  # 有限权限的维护IP1
        allow 192.168.1.9;  # 有限权限的维护IP2
        deny all;
    }
}

通过读取文件IP配置白名单

location /{
    include /home/whitelist.conf;
    #默认位置路径为/etc/nginx/ 下，
    #如直接写include whitelist.conf，则只需要在/etc/nginx目录下创建whitelist.conf
    deny all;
}

在/home/目录下创建whitelist.conf，并写入需要加入白名单的IP，添加完成后查看如下：

cat /home/whitelist.conf

#白名单IP
allow 10.1.1.10;
allow 10.1.1.11;

ngx_http_geo_module

默认情况下，一般nginx是有加该模块的，ngx_http_geo_module，参数需设置在位置在http模块中。此模块可设置IP限制，也可设置国家地区限制。位置在server模块外即可。

配置文件直接添加

geo $ip_list {
    default 0;
    #设置默认值为0
    192.168.1.0/241;
    10.1.0.0/16    1;
}
server {
    listen       8081;
    server_name  192.168.152.100;
    
    location / {
        root   /var/www/test;
        index  index.html index.htm index.php;
        if ( $ip_list = 0 ) {
           #判断默认值，如果值为0，可访问，这时上面添加的IP为黑名单。
           #白名单，将设置$ip_list = 1，这时上面添加的IP为白名单。
           proxy_pass http://192.168.152.100:8081;
    }
}