后端面试必备：如何使用Nginx禁止某个IP的访问

Nginx面试题 - 如何使用Nginx禁止某个IP的访问?

回答重点

在Nginx中禁止某个IP的访问非常简单，只需要在Nginx配置文件中添加几个规则即可。我们主要是在服务器块(serverblock)中利用deny和allow指令来实现这个功能。基本步骤如下:

1. 打开Nginx配置文件(通常是/etc/nginx/nginx.conf或/etc/nginx/conf.d/default.conf)。
2. 在server块中添加deny指令将指定的IP地址拒绝访问。
3. 保存配置文件并重新加载Nginx服务。

示例配置如下：

server {
    listen 80;
    server_name example.com;

    # 禁止某个IP访问
    deny 123.45.67.89;

    # 正常的 location 配置
    location / {
        try_files $uri $uri/ =404;
    }
}

完成后，保存配置文件并重启或重新加载Nginx：

sudo nginx -s reload

---

引言

Nginx作为一款高性能的Web服务器和反向代理服务器，提供了多种方式来限制或禁止特定IP地址的访问。本文将详细介绍几种常用的方法来实现IP禁止功能。

方法一：使用deny指令

最简单的方法是使用Nginx的deny指令，该指令可以在http、server或location上下文中使用。

http {
    # 禁止单个IP
    deny 192.168.1.100;
    
    # 禁止IP段
    deny 192.168.1.0/24;
    
    # 允许其他所有IP
    allow all;
    
    server {
        listen 80;
        server_name example.com;
        
        location / {
            # 可以在这里添加特定的deny规则
            deny 10.0.0.5;
            allow all;
            
            root /var/www/html;
        }
    }
}

方法二：使用geo模块

对于需要管理大量IP地址的情况，可以使用Nginx的geo模块：

http {
    geo $blocked_ip {
        default 0;
        192.168.1.100 1;
        10.0.0.0/8 1;
    }
    
    server {
        listen 80;
        server_name example.com;
        
        if ($blocked_ip) {
            return 403;
        }
        
        location / {
            root /var/www/html;
        }
    }
}

方法三：使用include指令管理大量IP

当需要禁止的IP数量很多时，可以将它们放在单独的文件中：

1. 创建IP黑名单文件/etc/nginx/blocked_ips.conf：

deny 192.168.1.100;
deny 192.168.1.101;
deny 10.0.0.0/8;

2. 在Nginx配置中引入该文件：

http {
    include /etc/nginx/blocked_ips.conf;
    
    server {
        listen 80;
        server_name example.com;
        
        location / {
            root /var/www/html;
        }
    }
}

方法四：使用map模块动态处理

map模块提供了更灵活的IP匹配方式：

http {
    map $remote_addr $blocked {
        default 0;
        192.168.1.100 1;
        10.0.0.0/8 1;
    }
    
    server {
        listen 80;
        server_name example.com;
        
        if ($blocked) {
            return 403;
        }
        
        location / {
            root /var/www/html;
        }
    }
}

验证和重载配置

在修改Nginx配置后，务必执行以下步骤：

具体命令：

# 测试配置语法
sudo nginx -t

# 重载配置
sudo systemctl reload nginx

注意事项

1. 规则的顺序很重要 - Nginx会按照从上到下的顺序处理allow和deny规则
2. 使用deny all可以禁止所有访问，然后配合allow指定允许的IP
3. 对于动态IP或需要频繁更新的情况，考虑使用防火墙(iptables/firewalld)作为补充
4. 修改配置后一定要测试，避免意外阻止合法用户

通过以上方法，你可以有效地使用Nginx来管理和控制特定IP地址的访问权限，保护你的Web服务免受恶意流量的侵扰。