Nginx配置allow和deny指令的使用

更新時間：2025年05月12日 10:08:05 作者：XMYX-0

在Nginx配置中,allow和deny指令用于基于IP地址的訪問控制,幫助管理員靈活管理資源訪問權限,具有一定的參考價值,感興趣的可以了解一下

介紹

在 Nginx 配置中，allow 和 deny 指令用于基于 IP 地址的訪問控制，幫助管理員靈活管理資源訪問權限。本文將結合配置語法、優(yōu)先級規(guī)則、應用場景及優(yōu)化技巧，全面解析這兩個指令的使用方法。

allow 和 deny 屬于 ngx_http_access_module 模塊，默認已集成在 Nginx 中（除非編譯時通過 --without-http_access_module 禁用）。其語法如下：

allow <IP地址|CIDR|unix: | all>;
deny <IP地址|CIDR|unix: | all>;

Nginx 采用 “順序優(yōu)先，首次匹配” 的規(guī)則：

location / {
    deny 192.168.1.1;        # 拒絕單個 IP
    allow 192.168.1.0/24;    # 允許整個網(wǎng)段
    deny all;                # 拒絕其他所有 IP
}

location /admin {
    allow 192.168.1.0/24;
    deny all;
    error_page 403 /custom_403.html;  # 自定義錯誤頁面
}

僅允許內(nèi)網(wǎng)訪問 /admin，其他 IP 返回 403 并跳轉至自定義頁面。

location /api {
    allow 203.0.113.5;
    deny all;
    proxy_pass http://backend;
}

僅允許特定 IP 訪問 API，防止未授權調用。

location /public {
    allow all;
}

location /private {
    allow 10.0.0.0/8;
    deny all;
}

不同路徑設置獨立的訪問策略，兼顧靈活性與安全性。

當 Nginx 位于代理后方時，需通過 X-Forwarded-For 獲取真實客戶端 IP：

set_real_ip_from 10.0.0.0/8;   # 信任的代理服務器 IP 段
real_ip_header X-Forwarded-For;
real_ip_recursive on;           # 排除可信代理 IP，獲取真實客戶端 IP

避免誤判代理服務器 IP 為客戶端地址。

大規(guī)模 IP 規(guī)則時，geo 模塊可提升匹配效率：

geo $blocked_ip {
    default 0;
    192.168.1.0/24 1;
    10.0.0.5 1;
}

server {
    if ($blocked_ip) {
        return 403;
    }
}

預定義 IP 匹配狀態(tài)，減少動態(tài)規(guī)則解析開銷。

結合 Fail2ban 或 iptables 自動封禁惡意 IP：

錯誤示例：

allow all;
deny 192.168.1.1;  # 此規(guī)則失效！

正確寫法應先拒絕再允許：

deny 192.168.1.1;
allow all;

未設置 real_ip_header 時，allow/deny 可能基于代理服務器 IP 而非客戶端 IP，導致錯誤封禁。

若需獨立控制 IPv6，需顯式指定：

allow 2001:0db8::/32;
deny 2001:0db8::1;

合并規(guī)則：使用 CIDR 減少條目，如將多個 /24 合并為 /16。
分文件管理：通過 include 引入外部規(guī)則文件，提升可維護性：
```
include /etc/nginx/conf.d/ip-whitelist.conf;
deny all;
```
避免過度使用 if：if 指令可能引發(fā)性能問題，優(yōu)先在 location 或 server 塊中配置規(guī)則。