Nginx配置求助：Windows Docker下特定IP访问控制失效如何解决？

问题根源分析 #

1. Docker网络IP识别偏差：默认Docker bridge模式下，Nginx容器获取的$remote_addr是Docker网关IP（如172.18.0.1）或主机内网IP，而非外部客户端的真实公网IP，导致geo模块的IP匹配规则完全失效。
2. ServerName不匹配：配置中server_name 127.0.0.1，外部访问用的是路由器公网IP/域名，Nginx可能未匹配到该server块，直接跳过访问控制规则。
3. X-Forwarded-For使用错误：之前的配置未正确基于客户端真实IP的X-Forwarded-For头做控制，且proxy_set_header的位置逻辑错误，无法正确传递真实IP。

具体解决方案 #

步骤1：修正ServerName配置 #

将server_name改为外部访问用的公网IP/域名，或用_匹配所有请求：

server {
    listen 8080;
    listen [::]:8080;
    server_name _; # 匹配所有主机名
    # 后续配置
}

步骤2：让Nginx获取真实客户端IP #

方式A：使用Docker Host网络模式

运行Nginx容器时添加--network host参数，容器直接复用主机网络，此时$remote_addr会直接拿到外部客户端的真实IP：

docker run -d --network host --name nginx -v /本地配置路径/nginx.conf:/etc/nginx/nginx.conf nginx

注意：Windows Docker的Host网络模式仅支持WSL2后端，Hyper-V后端无法使用，需确认你的Docker后端类型。

方式B：Bridge模式下配置X-Forwarded-For解析

如果无法使用Host模式，需让Nginx基于X-Forwarded-For的第一个IP做访问控制：

1. 确认路由器端口转发时保留了客户端源IP（多数路由器默认支持）。
2. 修改Nginx配置，添加IP提取和geo匹配规则：

worker_processes auto;

events {
    worker_connections 1024;
}

http {
    # 从X-Forwarded-For中提取第一个IP作为真实客户端IP
    map $http_x_forwarded_for $real_ip {
        ~^(?P<first_ip>[0-9\.]+) $first_ip;
        default $remote_addr;
    }

    # 基于真实IP设置访问权限
    geo $real_ip $allow {
        default 0;
        127.0.0.1 1;
        172.18.0.1 1;
        xxx.xxx.xxx.xxx 1; # 替换为你允许的公网IP
    }

    upstream django_server {
        server host.docker.internal:8888;
    }

    server {
        listen 8080;
        listen [::]:8080;
        server_name _;

        # 访问控制逻辑
        if ($allow = 0) {
            return 403;
        }

        location / {
            proxy_pass http://django_server;
            # 传递真实客户端IP给后端服务
            proxy_set_header X-Forwarded-For $real_ip;
            proxy_set_header Host $host;
            proxy_redirect off;
        }
    }
}

步骤3：验证配置并重启Nginx #

1. 检查配置合法性：

docker exec nginx nginx -t

2. 重启Nginx容器：

docker restart nginx

额外验证方法 #

添加日志配置，查看获取到的客户端IP是否正确：

http {
    # ... 其他配置
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$http_x_forwarded_for" "$real_ip"';
    
    access_log /var/log/nginx/access.log main;
    # ... 其他配置
}

查看日志确认$real_ip是否为外部客户端的真实公网IP，以此判断规则是否能正确匹配。

内容的提问来源于stack exchange，提问作者user16613127