直接用allow和deny指令可构建稳定IP黑白名单：白名单须“先allow后deny all”置于location/server块内，黑名单需“deny在allow all前”，推荐include抽离规则并用geo模块提升可维护性。

直接用 allow 和 deny 指令就能构建稳定、可维护的 IP 黑白名单，关键在规则顺序、作用域选择和配置组织方式。生产环境不追求花哨，而要逻辑清晰、便于审计、避免误拦。

白名单：只放行指定 IP 或网段，其余一律拒绝

适用于管理后台、内部 API、CI/CD 回调等敏感路径。核心原则是“先 allow，后 deny all”，且必须写在 location 或 server 块内——http 块中写无效。

• 允许多个 IPv4 网段：每行一条 allow 10.10.0.0/16;、allow 172.16.5.0/24;
• 支持 IPv6：如 allow 2001:db8:abcd::/48;
• 单个 IP 也可写：如 allow 192.168.1.200;
• 最后一行必须是 deny all;，否则前面的 allow 不起隔离作用

示例（限制仅内网和运维跳板机访问）：

location /admin/ {
    allow 10.0.0.0/8;
    allow 172.16.0.0/12;
    allow 203.0.113.50;
    deny all;
}

黑名单：拦截已知恶意源，其余默认放行

常用于封禁扫描器、爬虫 IP 段或历史攻击源。重点是把 deny 放在 allow all 之前，否则会被提前放行。

• 可叠加多条 deny：如 deny 198.51.100.0/24;、deny 203.0.113.64/27;
• 禁止单个 IP：直接写 deny 192.168.1.101;
• 末尾加 allow all; 是必须的，否则所有请求都会被隐式拒绝

示例（全局拦截高危 C 段）：

Nginx Reverse Proxy

配置 Nginx 反向代理，实现域名绑定。用户说“绑定域名”“配置 Nginx”“反向代理”时触发，将域名绑定到指定 IP:端口。

下载

location / {
    deny 203.203.203.0/24;
    deny 192.0.2.128/25;
    allow all;
}

集中管理：用 include 抽离规则，避免重复与散落

多个站点或 location 都需黑白名单时，硬编码易出错、难同步。推荐将规则单独成文件，再用 include 引入。

• 创建统一规则文件，例如 /etc/nginx/conf.d/ip-whitelist.conf
• 内容保持简洁：只含 allow/deny 语句，末尾带 deny all; 或 allow all;
• 在各 location 中写 include /etc/nginx/conf.d/ip-whitelist.conf;
• 修改后务必先运行 nginx -t 校验语法，再 nginx -s reload

这样更新策略只需改一个文件，所有引用位置自动生效，也方便 Git 版本控制和灰度发布。

进阶建议：geo 模块提升可读性与扩展性

当黑白名单规模超过 10 条，或需要按地域、部门、环境分组时，geo 比纯 allow/deny 更清晰。

• geo 必须定义在 http 块顶层，不能放在 server 内
• 用变量标记信任状态，例如 $is_internal = 1 表示内网 IP
• 在 location 中用 if ($is_internal = 0) { return 403; } 控制访问
• 支持 default 值，未匹配 IP 自动落入默认分支，逻辑更可控

这种方式把“判断逻辑”和“执行动作”分离，后续接入 GeoIP 或动态黑名单服务也更平滑。