Nginx中能否根据用户IP范围条件性发起SSL客户端证书请求？

当然可以实现！不过你之前尝试用if指令直接切换ssl_verify_client的路子走不通，这是因为ssl_verify_client属于SSL握手阶段生效的配置指令，而Nginx的if是在请求处理阶段才执行的——等if判断的时候，SSL握手早就完成了，所以会抛出"ssl_verify_client" directive is not allowed here的错误。

针对你的需求（内网用户不被浏览器证书弹窗打扰，外网用户必须提供证书），推荐两种靠谱的实现方式：

方法一：拆分两个Server块分别处理（最彻底的方案） #

这种方式会让内网用户匹配到完全不请求证书的Server，外网用户匹配到强制要求证书的Server，从根源上避免内网用户看到证书弹窗。

首先用geo模块定义内网IP范围：

geo $is_intranet {
    default 0;
    # 替换成你的内网IP段，下面是常见私有IP范围示例
    192.168.0.0/16 1;
    10.0.0.0/8 1;
    172.16.0.0/12 1;
}

然后配置两个Server块：

# 处理内网用户的Server：不请求客户端证书
server {
    listen 443 ssl;
    server_name yourdomain.com;

    # 只允许内网IP访问此Server
    allow 192.168.0.0/16;
    allow 10.0.0.0/8;
    allow 172.16.0.0/12;
    deny all;

    ssl_certificate /path/to/your/server-cert.pem;
    ssl_certificate_key /path/to/your/server-key.pem;
    ssl_verify_client off; # 完全不发送客户端证书请求

    location / {
        # 你的业务配置，比如静态文件路径或反向代理
        root /usr/share/nginx/html;
        index index.html;
    }
}

# 处理外网用户的Server：强制要求客户端证书
server {
    listen 443 ssl;
    server_name yourdomain.com;

    # 拒绝内网IP，只允许外网访问此Server
    deny 192.168.0.0/16;
    deny 10.0.0.0/8;
    deny 172.16.0.0/12;
    allow all;

    ssl_certificate /path/to/your/server-cert.pem;
    ssl_certificate_key /path/to/your/server-key.pem;
    ssl_client_certificate /path/to/your/ca-cert.pem; # CA根证书，用于验证客户端证书
    ssl_verify_client on; # 强制要求客户端提供证书
    ssl_verify_depth 2; # 证书链验证深度

    location / {
        # 和内网Server一致的业务配置
        root /usr/share/nginx/html;
        index index.html;
    }
}

方法二：用Map+可选验证（妥协方案，适合无法拆分Server的场景） #

如果你因为某些原因不能拆分Server，可以用这种方式：Nginx会给所有用户发送证书请求，但内网用户即使不提供证书也能正常访问，外网用户必须提供有效证书。不过注意，这种方式下内网用户的浏览器还是会弹出证书选择框，只是可以直接点击取消继续访问，所以不太符合你“不被打扰”的核心需求，但可以作为备选。

配置示例：

# 定义是否需要强制验证的变量
map $remote_addr $require_cert_verify {
    default "on";
    192.168.0.0/16 "off";
    10.0.0.0/8 "off";
    172.16.0.0/12 "off";
}

server {
    listen 443 ssl;
    server_name yourdomain.com;

    ssl_certificate /path/to/your/server-cert.pem;
    ssl_certificate_key /path/to/your/server-key.pem;
    ssl_client_certificate /path/to/your/ca-cert.pem;
    ssl_verify_client optional; # 发送证书请求，但不强制验证
    ssl_verify_depth 2;

    location / {
        # 根据变量判断是否强制验证
        if ($require_cert_verify = "on") {
            if ($ssl_client_verify != "SUCCESS") {
                return 403; # 外网用户未提供有效证书则拒绝访问
            }
        }

        # 业务配置
        root /usr/share/nginx/html;
        index index.html;
    }
}

总结一下，优先用方法一，能完全满足你“内网用户无弹窗，外网用户强制证书”的需求；方法二是退而求其次的选择，适合特殊场景。

备注：内容来源于stack exchange，提问作者Toxiro