nginx屏蔽恶意ip应避免硬写deny，推荐三种方式：一、geo+include实现热更静态黑名单；二、map+geo做反向区域封禁；三、对接fail2ban/openresty/nginx plus实现自动化动态拦截。
直接用 Nginx 屏蔽已知恶意 IP 库，核心不是“堆 deny”，而是把外部黑名单高效、可维护、低开销地加载进 Nginx 请求处理流程。硬写几百条 deny 1.2.3.4; 会拖慢 reload、难更新、易出错，也不适用于云虚拟主机等受限环境。
以下是三种实用、分场景的落地方式：
一、用 geo + include 实现可热更的静态黑名单（推荐中小规模）
适合：IP 数量在 50～300 条之间，需定期手动或脚本更新（如每天同步 AbuseIPDB、Emerging Threats 等开源库）。
-
在
http { }块顶部定义变量：geo $is_blocked { default 0; include /etc/nginx/ip_blacklist.map; } -
/etc/nginx/ip_blacklist.map文件格式（必须严格）："192.168.10.5" 1; "203.0.113.0/24" 1; "2001:db8::1" 1;
注意：每行结尾有分号，IP 或网段加英文双引号，值为
1表示命中。 -
在目标
location中拦截（不建议放server或http顶层）：location /login { if ($is_blocked) { return 403; } # 后续正常逻辑 } -
更新后执行：
nginx -t && nginx -s reload
✅ 优势：reload 不中断连接；匹配是哈希查找，比线性 deny 快；支持 IPv6 和 CIDR；可配合 curl + cron 自动拉取并生成 .map 文件。
二、用 map + geo 组合实现“中国白名单”式反向屏蔽（适合区域型封禁）
适合：你想默认只放行国内 IP，其余全拦（即“黑名单=非中国IP”），无需依赖 GeoIP2 编译模块。
-
利用 APNIC 公开数据生成中国 IPv4/IPv6 段列表（如
cn_ipv4.map）："1.0.1.0/24" 1; "1.0.2.0/23" 1; ...
-
配置：
geo $is_china { default 0; include /etc/nginx/cn_ipv4.map; include /etc/nginx/cn_ipv6.map; }
map $is_china $deny_non_china { 0 "1"; # 非中国 IP → 触发拦截 1 ""; # 中国 IP → 空值，不拦截 }
server { location / { if ($deny_non_china) { return 403; }
正常服务
}
}
⚠️ 注意：该方案本质是“白名单思维”，但用黑名单机制实现，避免了 `deny all` + 大量 `allow` 的维护负担。
---
### 三、对接自动化工具（适合高频攻击场景）
当恶意 IP 每分钟变一批（如暴力破解 `/wp-login.php`），靠人工加 IP 已失效，应引入闭环系统：
- **fail2ban + nginx**
fail2ban 监控 Nginx access/error 日志，识别异常行为（如 5 分钟内 10 次 404 或 5 次 401），自动生成 `deny` 指令并触发 `nginx -s reload`。
✅ 零开发成本，社区规则丰富（如 `nginx-badbots`, `php-url-fopen`）。
❌ reload 有毫秒级抖动，不适合超大流量站点。
- **OpenResty + Lua + Redis**
用 `access_by_lua_block` 查询 Redis 中的实时黑名单（含 TTL），命中即 `ngx.exit(403)`。
✅ 毫秒级生效、无 reload、支持自动解封、可做访问频控联动。
❌ 需部署 OpenResty，Lua 脚本需运维能力。
- **Nginx Plus（商业版）**
内置 key-value store 和 API，可通过 HTTP 接口动态增删 IP，支持 JSON 格式批量导入。
✅ 最省心，适合企业级合规场景。
❌ 许可证费用高，开源 Nginx 不可用。
---
关键提醒：
- **HTTPS 和 HTTP 配置要同步**：`server { listen 443 ssl; }` 和 `server { listen 80; }` 是两个独立块，黑名单规则必须分别写入或统一 `include`。
- **别用 `return 444`**：它直接断连，Nginx access log 不记录，审计和监控无法追踪被拦 IP。
- **加日志字段辅助排查**：在 `log_format` 中加入 `$is_blocked` 或 `$remote_addr`，方便后续分析误封或漏拦。
- **云虚拟主机注意限制**：阿里云/腾讯云等平台通常只允许 `deny/allow` 写在 `location` 内，且不支持 `geo`/`map` —— 此时只能走平台自带“访问控制”功能或改用 `.htaccess`（Apache 环境）。
不复杂但容易忽略。
