管理大规模ip过滤的关键是高效、动态与轻量：用geo指令实现o(1)哈希查找替代线性allow/deny；用lua+shared_dict支持毫秒级黑白名单热更新；结合realip和limit_conn防绕过与资源耗尽。
管理大规模 IP 过滤，关键不在“能不能封”，而在“封得快、改得活、不拖慢请求”。硬写几百条 deny 会显著拉低匹配速度，尤其在高并发下，线性扫描白/黑名单会让 Nginx 变成瓶颈。真正可行的方案要兼顾查找效率、动态更新和部署轻量。
用 geo 指令替代 allow/deny 做静态大名单过滤
当白名单或黑名单固定且数量达数百至数千时，geo 指令比 allow/deny 更高效。它基于哈希查找，时间复杂度接近 O(1)，而后者是顺序匹配 O(n)。
- 把 IP 列表转为
geo映射块，例如只允许特定网段访问：
geo $allowed_ip {
default 0;
192.168.0.0/16 1;
203.0.113.0/24 1;
2001:db8::/32 1;
}
- 在 location 中用
if快速拦截：if ($allowed_ip = 0) { return 403; } - 注意：
geo不支持运行时 reload 更新，适合变化频率低（如每周一次）的名单；修改后需nginx -s reload。
用 Lua + shared_dict 实现毫秒级动态黑白名单
需要实时增删 IP（比如自动封 CC 攻击源），又不想重启 Nginx？Lua 是目前最成熟的选择。它把 IP 存进共享内存字典（shared_dict），所有 worker 进程共用，读写都是纳秒到微秒级。
- 启用
ngx_http_lua_module后，在配置中定义字典：
lua_shared_dict ip_blacklist 10m;
- 在
access_by_lua_block中查字典并拦截：
access_by_lua_block {
local dict = ngx.shared.ip_blacklist
if dict:get(ngx.var.binary_remote_addr) == "1" then
return ngx.exit(403)
end
}
- 通过 Lua 脚本或 HTTP 接口（如 POST /api/block）往字典写入 IP，无需 reload，立即生效。
- 建议搭配定时清理过期项（如加 TTL），避免内存膨胀。
结合 limit_conn 和 realip 防绕过与资源耗尽
单靠 IP 过滤不够——攻击者常用代理、X-Forwarded-For 伪造源 IP。必须叠加两层防护：
- 用
set_real_ip_from+real_ip_header正确提取真实客户端 IP，尤其在有 CDN 或 LB 的场景下； - 配合
limit_conn_zone $binary_remote_addr zone=perip:10m;和limit_conn perip 5;，限制每个真实 IP 的并发连接数，防连接耗尽； - 对高频异常请求（如每秒超 30 次），可先用
limit_req限速，再由 Lua 脚本判断是否加入黑名单，实现“观察→限流→封禁”闭环。
慎用 deny all + allow 组合，避免配置陷阱
常见错误写法：deny all; allow 192.168.1.1; 看似只放行一个 IP，但实际会因指令执行顺序导致全部拒绝。Nginx 的 allow/deny 是按配置顺序逐条匹配，一旦命中就终止，不会继续往下看。
- 正确做法：只用
allow列出许可项，末尾不加deny all，而是靠geo或 Lua 控制默认拒绝逻辑； - 若必须用
deny/allow，确保allow在前、deny在后，且最后一条是deny all； - 调试时加日志：
log_format filter '$remote_addr - $status [$time_local] "$request"';，便于定位误拦。
