后端面试必备：如何在Nginx中实现IP白名单和黑名单

在Web服务器管理中，控制访问权限是保障系统安全的重要环节。Nginx作为一款高性能的Web服务器和反向代理服务器，提供了多种方式来实现IP地址的访问控制。本文将详细介绍如何在Nginx中配置IP白名单和黑名单，以及相关的注意事项。

逆流而上one

2051人浏览 · 2025-04-27 16:00:00

逆流而上one · 2025-04-27 16:00:00 发布

Nginx面试题 - 如何在Nginx中实现IP白名单和黑名单?

回答重点

要在Nginx中实现IP白名单和黑名单，我们主要需要使用Nginx的allow和deny指令。这两条指令允许配置访问控制，通过配置文件来控制哪些IP地址可以访问服务器，哪些不行。

1) 配置 IP 白名单:

使用allow指令允许特定IP 或者IP 段访问。
在白名单中，希望其他所有请求都被拒绝，可以配合deny all指令。

2) 配置 IP黑名单:

使用deny指令拒绝特定IP或者IP段的访问。
在黑名单中，希望所有除此之外的请求都能访问，可以配合allow all指令。

具体的配置格式在nginx.conf文件中大致如下:

# 配置 IP 白名单
location / {
    allow 192.168.1.1;     # 允许单个 IP 访问
    allow 192.168.1.0/24;  # 允许一个 IP 段访问
    deny all;              # 禁止所有其他 IP 访问
}

配置 IP 黑名单

location / {
deny 192.168.2.1; # 禁止单个 IP 访问
deny 192.168.3.0/24; # 禁止一个 IP 段访问
allow all; # 允许所有其他 IP 访问
}

引言

IP白名单与黑名单的概念

IP白名单：只允许列表中的IP地址访问，其他所有IP均被拒绝
IP黑名单：拒绝列表中的IP地址访问，其他所有IP均被允许

方法一：使用Nginx的ngx_http_access_module模块

Nginx内置的ngx_http_access_module模块提供了基本的IP访问控制功能。

配置IP白名单

server {
    listen 80;
    server_name example.com;
    
    location / {
        allow 192.168.1.100;
        allow 10.0.0.0/24;
        deny all;
        
        # 其他配置...
    }
}

配置IP黑名单

server {
    listen 80;
    server_name example.com;
    
    location / {
        deny 192.168.1.100;
        deny 10.0.0.0/24;
        allow all;
        
        # 其他配置...
    }
}

方法二：使用Nginx的ngx_http_geo_module模块

对于大量IP地址的管理，ngx_http_geo_module模块更为高效。

配置示例

http {
    geo $whitelist {
        default 0;
        192.168.1.100 1;
        10.0.0.0/24 1;
        # 更多IP...
    }
    
    server {
        listen 80;
        server_name example.com;
        
        location / {
            if ($whitelist = 0) {
                return 403;
            }
            # 其他配置...
        }
    }
}

方法三：使用Nginx的map指令

map指令提供了另一种灵活的方式来管理IP列表。

http {
    map $remote_addr $is_denied {
        default 0;
        192.168.1.100 1;
        10.0.0.0/24 1;
        # 更多黑名单IP...
    }
    
    server {
        listen 80;
        server_name example.com;
        
        location / {
            if ($is_denied) {
                return 403;
            }
            # 其他配置...
        }
    }
}

方法四：使用外部IP列表文件

对于经常变动的IP列表，可以使用外部文件来管理。

创建IP列表文件/etc/nginx/whitelist.conf:

allow 192.168.1.100;
allow 10.0.0.0/24;
# 更多IP...

在Nginx配置中引入:

server {
    listen 80;
    server_name example.com;
    
    location / {
        include /etc/nginx/whitelist.conf;
        deny all;
        # 其他配置...
    }
}