Nginx 中如何实施基于动态 IP 管理的访问限制

Nginx动态IP访问限制有三类方案：一是allow/deny+外部文件reload实现准动态管理；二是geo模块映射变量配合if判断；三是Lua+Redis实现全自动实时封禁，需注意匹配顺序、变量限制、Redis容错及真实IP识别。

Nginx 实施基于动态 IP 管理的访问限制，核心在于“规则可变、响应实时、无需重启”。它不是简单写死 deny 192.168.1.100，而是让封禁/放行行为能随请求特征（如频率、来源、行为模式）自动触发，并支持快速更新黑白名单。主流方案分三类：静态指令控制、变量+条件判断、Lua+外部存储协同，适用不同复杂度需求。

用 allow/deny 指令做基础动态管理

虽然 allow/deny 本身是静态配置，但通过外部文件引入 + reload 机制，可实现“准动态”管理：

• 把所有要封禁的 IP 写进独立文件，比如 /etc/nginx/conf.d/blacklist.conf，内容为：

  deny 203.0.113.45;<br>deny 198.51.100.12;<br>deny 2001:db8::1;

• 在 server 或 location 块中引用：
  include /etc/nginx/conf.d/blacklist.conf;
• 新增或删除 IP 后，只需运行 nginx -t && nginx -s reload，几秒内生效，不中断服务
• 适合每天手动维护几十条规则的场景，运维成本低、兼容性好

用 geo 模块实现变量级动态开关

geo 模块可将 IP 映射为自定义变量值，再配合 if 判断返回状态，避免硬编码 deny，逻辑更清晰：

• 在 http 块顶部定义：

  geo $ip_blocked {<br>  default 0;<br>  192.168.5.200 1;<br>  10.10.0.0/16 1;<br>}

• 在 location 中使用：
  if ($ip_blocked) { return 403; }
• 支持 include 外部 IP 列表文件，例如：

  geo $ip_blocked {<br>  default 0;<br>  include /etc/nginx/ip_blacklist.map;<br>}

• 修改 map 文件后 reload 即可，比直接改 deny 更易读、易批量生成

用 Lua 脚本对接 Redis 实现全自动动态封禁

这是真正意义上的动态管理——IP 是否被封，由运行时行为决定，无需人工干预：

• 需启用 OpenResty 或安装 ngx_http_lua_module
• 在 location 中调用 Lua 脚本：
  access_by_lua_file /usr/local/lua/access_limit.lua;
• 脚本内连接 Redis，按 IP 统计 1 秒内请求数；超阈值（如 3 次）则写入黑名单，设置过期时间（如 120 秒）
• 后续请求先查 Redis 黑名单，命中即 return 403，未命中再走正常流程
• 支持自定义策略：同一 IP 频繁 404、UA 含扫描器特征、POST 接口异常高频等均可触发封禁

注意事项与避坑点

动态管理不是万能的，实际部署要注意：

• allow/deny 和 geo 的匹配顺序很重要：规则从上到下执行，deny all 必须放在最后，否则前面的 allow 无效
• geo 变量不能在 if 中赋值，只能用于判断；且不支持正则匹配，IP 段需用 CIDR 格式写死
• Lua 方案依赖 Redis 可用性，建议配置连接池和超时重试，避免 Redis 故障导致整个请求阻塞
• 所有 reload 操作前务必执行 nginx -t，语法错误会导致服务中断
• 真实客户端 IP 可能被代理隐藏，记得在 upstream 或 real_ip 模块中正确设置 set_real_ip_from，否则封错 IP