nginx如何高效配置IP访问控制 复用规则避免重复修改

针对重复粘贴allow/deny规则、调整IP需要逐位置修改配置的问题，有三种从简到灵活的高效配置方式，可实现规则一次定义、全端点复用，调整规则时无需挨个修改每个location块：

1. 独立规则文件 + include 引用（最通用、粒度最灵活） #

这是兼容性最好的方案，不需要改动原有location的整体结构：

• 把重复的IP规则抽离为独立配置文件，比如新建/etc/nginx/snippets/ip_allow_list.conf，文件内容就是原来重复写的几行：

  allow 123.45.67.89;
  allow 98.765.43.21;
  deny all;
  

• 把原来每个location里重复的allow/deny代码段，替换成对这个文件的引用：

  location /api0 {
      include /etc/nginx/snippets/ip_allow_list.conf;
      # 原有接口专属代理、路由逻辑保持不变
  }
  
  location /api1 {
      include /etc/nginx/snippets/ip_allow_list.conf;
      # 原有接口专属代理、路由逻辑保持不变
  }
  

后续调整允许IP时，只需要修改这个独立的snippets文件，所有引用它的location会自动加载最新规则，完全不用挨个翻每个接口的配置块。如果后续部分接口需要独立的IP白名单，只要新建对应的独立conf文件，按需在对应location里include即可，不会互相干扰。

2. 统一路径前缀匹配 + 公共规则下沉（配置量最小） #

如果你的待过滤接口有统一的路径前缀（比如全部以/api开头），根本不需要给每个单独的api端点写location配置：

• 直接在对应server块的层级，定义统一的前缀匹配规则块，把IP过滤逻辑写在这一个块里，所有符合前缀的子请求都会自动经过校验：

  server {
      # 匹配所有 /api 开头的请求，优先级高于普通前缀匹配
      location ^~ /api/ {
          allow 123.45.67.89;
          allow 98.765.43.21;
          deny all;
          # 统一配置后端代理逻辑，覆盖所有子路径
          proxy_pass http://your_backend_pool;
          proxy_set_header Host $host;
      }
  }
  

这个方案甚至可以删掉原来单独写的/api0、/api1等零散location块，只要路径规则符合前缀匹配，全部走统一校验、统一代理，改IP只需要改这一个块里的列表就行。

3. geo模块全局变量映射（适合多规则、多权限场景） #

如果需要灵活区分不同IP组的权限、甚至给不同接口匹配不同的IP规则集，可以用Nginx默认内置的ngx_http_geo_module实现全局规则映射，不需要额外安装插件，开箱即用：

• 在全局http上下文（或者conf.d目录下任意会被加载的配置文件里）定义IP匹配映射：

  geo $api_access_allowed {
      default 0;
      # 白名单IP段，支持网段写法
      123.45.67.89/32 1;
      98.765.43.21/32 1;
      10.0.0.0/8 1;
  }
  

• 给需要做IP过滤的接口路径，增加统一的拦截判断，不需要重复写allow/deny：

  location ~ ^/api[0-9]+ {
      # 匹配到非白名单IP直接返回403
      if ($api_access_allowed = 0) {
          return 403;
      }
      # 原有接口代理逻辑
  }
  

调整IP列表只需要修改geo块里的IP条目即可，所有引用这个变量的location自动生效，还可以基于这个变量扩展更细的权限逻辑，比如给不同IP分配不同的请求限流值、不同的后端集群。

所有方案调整完规则后，执行nginx -t确认配置语法无报错，再执行nginx -s reload重载配置即可，不会中断现有业务连接。

内容的提问来源于stack exchange，提问作者vgoklani