1. 为什么需要IP访问限制？

想象你的网站是家网红餐厅，突然来了群不速之客疯狂占座。这时候就需要像Nginx这样的智能门卫帮你筛选客人。实际场景中：

  • 电商大促时拦截恶意刷单IP
  • 企业OA系统仅允许内网地址访问
  • 博客站点屏蔽恶意爬虫IP段

某在线教育平台曾遭遇每小时50万次的CC攻击，通过Nginx的IP限制策略，成功将异常请求拦截率提升至98%，服务器负载从90%降至30%。

2. 实战配置示例（Nginx 1.18+）

http {
    # 创建黑名单（拒绝名单）
    geo $blocked_ip {
        default 0;
        192.168.1.100 1;  # 封禁指定IP
        10.0.0.0/24   1;  # 封禁整个C类段
    }

    server {
        listen 80;
        server_name example.com;

        location /admin {
            # 白名单模式：先拒绝所有，再允许特定IP
            allow 172.16.0.5;  # 允许办公区管理机
            allow 192.168.0.0/16;  # 允许内网访问
            deny all;  # 其他全部拒绝

            # 黑名单模式：使用预定义的黑名单
            if ($blocked_ip) {
                return 403;  # 返回禁止状态码
            }

            # 其他配置...
        }
    }
}

注释说明：

  1. geo模块创建内存级IP库，查询效率比配置文件逐行匹配快10倍
  2. 白名单模式适合高安全场景，黑名单适合补充拦截
  3. allow/deny指令顺序敏感，建议白名单在前
  4. 使用CIDR表示法可批量处理IP段

3. 技术方案选型对比

原生模块方案

优点：

  • 零额外依赖，配置即生效
  • 内存级处理，百万级IP库查询耗时<1ms
  • 支持动态加载（需配合nginx-module-vts）

缺点：

  • 大规模规则维护困难（超过500条性能下降）
  • 无法自动识别异常IP（需配合日志分析）

动态防火墙方案

推荐搭配lua-resty-iputils扩展（注意，原生nginx需要安装lua模块扩展）：

location / {
    access_by_lua_block {
        local iputils = require "resty.iputils"
        iputils.enable_lrucache()  # 启用缓存提升性能
        
        local blacklist = {
            "203.0.113.0/24",
            "198.51.100.55"
        }
        
        local is_banned = iputils.ip_in_cidrs(ngx.var.remote_addr, blacklist)
        if is_banned then
            ngx.exit(ngx.HTTP_FORBIDDEN)
        end
    }
}

注释说明：

  1. 使用LRU缓存减少重复计算
  2. 支持动态更新黑白名单（需配合Redis）
  3. 处理万级规则仍能保持毫秒响应

4. 避坑指南

配置陷阱

  • 测试时务必保留逃生通道（至少保留一个管理员IP）
  • 使用curl -H "X-Real-IP: 测试IP"模拟真实场景
  • 避免在http块重复定义geo模块

性能优化

  • 超过1000条规则时建议改用ipset+iptables
  • 动态IP库推荐使用mmdb格式（MaxMind DB）
  • 高频访问路径避免使用if条件判断

安全加固

  • 配合fail2ban实现自动封禁（失败登录>5次自动加黑）
  • 重要接口启用二次验证（即使IP在白名单）
  • 定期审计access.log中的403记录

5. 应用场景深度解析

精准营销防护

某电商在秒杀活动中配置：

geo $limited_area {
    ranges;
    default 0;
    61.129.0.0/16 1;  # 上海区域
    106.120.0.0/14 1; # 北京区域
}

配合Lua脚本实现：非指定区域用户看到静态页，核心用户进入秒杀队列

API分级防护

map $http_x_api_key $api_access {
    default         $remote_addr;
    "VIP_KEY"       "";
}

location /api/v1 {
    if ($api_access) {
        access_log /var/log/nginx/api_attack.log;
        return 444;  # 静默关闭连接
    }
}

实现效果：普通API通过IP限流，携带VIP密钥的合作伙伴不受限制

6. 技术方案对比表

维度 原生模块 Lua扩展 硬件防火墙
规则容量 1万 10万 100万+
更新时效 分钟级 秒级 毫秒级
维护成本 低 中 高
典型延迟 0.1ms 0.3ms 0.05ms
防御CC能力 ★★☆ ★★★ ★★★★

7. 总结与展望

Nginx的IP限制就像智能门禁系统：简单配置可防住80%的基础攻击，结合Lua扩展能应对复杂场景。但要注意：

  1. 动态IP（如4G网络）需要配合用户行为分析
  2. IPv6地址需要单独处理（推荐使用ip6table）
  3. 云原生环境下建议使用Service Mesh的RBAC策略

未来趋势是智能风控系统：通过机器学习分析访问日志，自动生成动态规则。比如某IP在1秒内请求了20个不同页面，自动加入临时黑名单。Nginx在这方面可通过集成AI预测模块实现更精准的访问控制。