如何通过Nginx VirtualServer实现指定路径仅允许特定IP访问？

你的需求完全可以实现，问题出在两个核心点：Nginx allow/deny指令的匹配顺序，以及AWS环境下真实客户端IP的识别逻辑。

问题根源 #

1. 指令顺序错误：Nginx的allow/deny规则是按配置顺序匹配的，先写deny all会直接拦截所有请求，后续的allow规则根本不会触发。
2. 真实IP识别偏差：AWS集群中，客户端请求先经过AWS负载均衡（LB）再转发到Nginx Ingress控制器。Nginx默认会把LB的IP当作客户端IP，导致你配置的allow规则实际是允许LB的IP，而非真实的客户端IP。

正确配置方案 #

1. 调整allow/deny规则顺序

先配置allow允许目标IP/CIDR，最后用deny all拦截其他所有请求，确保匹配到允许的IP后直接放行。

2. 配置Nginx识别真实客户端IP

在VirtualServer中添加真实IP相关配置，让Nginx从AWS LB转发的X-Forwarded-For头中提取客户端真实IP。

修改后的完整配置 #

apiVersion: k8s.nginx.org/v1
kind: VirtualServer
metadata:
  name: web-server-ingress-vs
  namespace: web
spec:
  host: somehost.com
  # 全局配置真实IP识别（适配AWS LB环境）
  server-snippets: |
    set_real_ip_from 10.0.0.0/8; # 替换为你的AWS LB所在VPC子网段
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;
  upstreams:
  - name: web-test
    service: web-server-service
    port: 5000
  - name: another-one
    service: web-server-service
    port: 5000
  routes:
  - path: /
    action:
      pass: web-test
  - path: /test-another-one
    location-snippets: |
      allow 192.168.1.0/24; # 替换为你需要允许的IP/CIDR
      allow 10.10.10.10/32; # 可添加多条allow规则
      deny all;
    action:
      pass: another-one

关键配置说明 #

• set_real_ip_from：需替换为你的AWS LB所在的VPC子网段（可在AWS控制台查看LB的子网信息），该指令告诉Nginx哪些IP是可信代理，允许从这些请求中提取真实客户端IP。
• real_ip_recursive on：若存在多层代理场景，该指令会让Nginx从X-Forwarded-For头中取最后一个非可信IP作为真实客户端IP，适配AWS的转发逻辑。
• location-snippets规则顺序：必须先写所有allow规则，最后写deny all，否则允许规则无法生效。

验证方法 #

配置更新后，使用不同IP访问/test-another-one路径，确认仅指定IP能正常访问，其他IP返回403 Forbidden。

内容的提问来源于stack exchange，提问作者Gene Smith