如何配置Nginx仅允许家庭局域网或VPN访问Navidrome服务？

方法一：用Nginx RealIP模块获取真实客户端IP #

问题核心是内网/VPN用户访问mydomain.com时，请求经过路由器NAT回环后，Nginx拿到的是你的公网IP，而非客户端真实的内网/VPN IP，导致allow网段规则失效。

启用RealIP模块即可让Nginx识别真实客户端IP：

1. 确认你的Nginx已编译ngx_http_realip_module（主流发行版默认包含）
2. 在Navidrome对应的Nginx server块中添加配置：

   # 允许识别来自内网和VPN网段的真实IP
   set_real_ip_from 192.168.0.0/24;
   set_real_ip_from 10.13.13.0/24;
   # 开启递归解析，确保多层NAT下也能拿到真实IP
   real_ip_recursive on;
   # 从请求头中获取真实IP（根据路由器NAT配置，也可改用X-Real-IP）
   real_ip_header X-Forwarded-For;
   

3. 保留原有的allow/deny规则：

   allow 192.168.0.0/24;
   allow 10.13.13.0/24;
   deny all;
   

4. 重启Nginx后，规则就能正常匹配内网/VPN用户的真实IP。

方法二：利用路由器本地DNS重定向 #

不用额外搭建DNS服务器，直接在家用路由器里配置本地域名解析：把mydomain.com指向Nginx服务器的内网IP（比如192.168.0.100）。

这样内网用户访问mydomain.com时，直接走内网IP访问Nginx，Nginx拿到的是客户端内网IP，原来的allow规则直接生效，还避免了NAT回环的问题，配置简单且无需维护额外组件。

方法三：动态IP自动更新Nginx规则（简化版） #

如果上面两种方法无法使用，可以简化你最初的脚本思路：

• 把允许的公网IP单独放在一个Nginx配置片段文件里，比如/etc/nginx/conf.d/allowed_ip.conf，内容仅为allow aa.bb.cc.dd;
• 在主配置中用include /etc/nginx/conf.d/allowed_ip.conf;引用，再加上deny all;
• 写个简单脚本定期获取当前公网IP（比如用curl ifconfig.me），对比文件中的IP，若变化则更新文件并reload Nginx（reload比重启更轻量）：

  #!/bin/bash
  CURRENT_IP=$(curl -s ifconfig.me)
  ALLOWED_IP=$(cat /etc/nginx/conf.d/allowed_ip.conf | awk '{print $2}')
  
  if [ "$CURRENT_IP" != "$ALLOWED_IP" ]; then
      echo "allow $CURRENT_IP;" > /etc/nginx/conf.d/allowed_ip.conf
      nginx -s reload
  fi
  

• 用cron定时运行脚本，比如每小时一次。

内容的提问来源于stack exchange，提问作者James Wyper