实战演示 Nginx 结合 OpenResty 在网关层实现基于 Redis 的动态 IP 黑名单封禁-Nginx-PHP中文网

OpenResty+Lua+Redis是Nginx网关层最实用可控的IP封禁方案，毫秒级实时判断、黑名单增删无需reload、支持自动封禁与TTL自动解封。

实战演示 nginx 结合 openresty 在网关层实现基于 redis 的动态 ip 黑名单封禁

直接在 Nginx 网关层做 IP 封禁，最实用、最可控的方式就是用 OpenResty + Lua + Redis。它不依赖日志轮询或系统防火墙，每次请求毫秒级判断，黑名单增删实时生效，无需 reload，适合生产环境高频管理。

为什么选 OpenResty 而不是原生 Nginx

原生 Nginx 的 deny 指令只能静态写死 IP，改一次就得 nginx -s reload，高并发下 reload 有连接中断风险；geo + map 方式虽可外挂文件，但同样要 reload 才生效。OpenResty 内置 LuaJIT 和 resty.redis 模块，能把 Redis 查询嵌入到请求生命周期的任意阶段（比如 access_by_lua*），真正实现“写入即封禁”。

核心配置三步走

• 在 http 块中初始化 Redis 连接池（避免每次请求新建连接）：

init_by_lua_block {<br>
  local redis = require "resty.redis"<br>
  local red = redis:new()<br>
  red:set_timeout(100)<br>
  red:connect("127.0.0.1", 6379)<br>
  -- 可选：设置密码 red:auth("yourpass")<br>
  ngx.ctx.redis_pool = red<br>
}

• 在目标 location 中调用封禁逻辑：

location / {<br>
  access_by_lua_block {<br>
    local red = ngx.ctx.redis_pool<br>
    local ip = ngx.var.remote_addr<br>
    if red:get("blacklist:" .. ip) == "1" then<br>
      return ngx.exit(403)<br>
    end<br>
  }<br>
  proxy_pass http://backend;<br>
}

• 封禁操作只需一条 Redis 命令：
redis-cli SETEX "blacklist:192.168.1.100" 3600 "1"
其中 3600 是封禁秒数，过期自动清除，不用人工清理。