一、基础配置：使用deny指令
在Nginx虚拟主机配置文件中，通过deny指令可直接拒绝特定IP或IP段的访问。例如，在server块中添加以下配置可阻止IP地址为192.168.1.100的请求：
location / {
deny 192.168.1.100;
此时来自该IP的请求将返回403 Forbidden错误。
二、黑名单与白名单组合控制
通过allow和deny指令组合可实现更灵活的访问控制：
- 允许特定网段访问，但排除单个IP：
allow 192.168.1.0/24; deny 192.168.1.100;
- 仅允许特定IP访问，拒绝其他所有请求：
allow 192.168.1.200; deny all;
注意：指令顺序影响执行优先级，最后声明的规则会覆盖之前的设置。
三、高级控制：GeoIP与防火墙结合
对于需要地理区域限制的场景，可结合GeoIP模块：
- 安装GeoIP数据库并加载模块
- 在配置中实现区域过滤：
if ($geoip_country_code != "CN") { return 403; }
同时建议在操作系统防火墙（如iptables或ufw）中添加规则，实现双重防护。
四、配置验证与最佳实践
完成配置后需执行nginx -t测试语法，并通过systemctl reload nginx重载服务。建议遵循以下原则：
- 优先在
server块全局配置访问规则 - 使用CIDR格式定义IP段（如192.168.1.0/24）提高可维护性
- 定期审查访问日志，动态调整黑名单
| 配置方式 | 允许的IP | 拒绝的IP |
|---|---|---|
| allow 192.168.1.0/24; deny all | 192.168.1.* | 其他所有地址 |
| deny 203.0.113.5; allow all | 除203.0.113.5外的所有地址 | 203.0.113.5 |
结论：Nginx提供了多层次的IP访问控制机制，从简单的单IP限制到复杂的地理位置过滤，管理员应根据实际安全需求选择合适的方案。建议采用组合策略并配合日志监控，实现动态安全防护。
本文由阿里云优惠网发布。发布者：编辑员。禁止采集与转载行为，违者必究。出处：https://aliyunyh.com/622990.html
其原创性以及文中表达的观点和判断不代表本网站。如有问题，请联系客服处理。
