Linux怎么配置Nginx禁止IP访问-LINUX-PHP中文网

只写server_name _不起作用，是因为nginx兜底逻辑依赖listen ... default_server标识，而非server_name是否为空；未设default_server时，请求会落入配置中第一个server块，无论其server_name为何值。

linux怎么配置nginx禁止ip访问

为什么只写 `server_name _` 不起作用

很多人照着网上教程加了 server_name _，结果 IP 还能正常访问，甚至流量全打到某个业务 server 块里。根本原因是：Nginx 不靠 server_name 是否为空来判断“兜底”，而是按 listen 的 default_server 标识找第一个匹配的 server 块。没加 default_server，Nginx 就会退回到配置顺序匹配——通常落到第一个写的 server 里，哪怕它写了 server_name example.com。

常见错误配置：

server {
    listen 80;
    server_name _;  # ❌ 没有 default_server，这行基本无效
    return 444;
}

正确做法是确保该块带 default_server，且整个 http 块中仅有一个 listen 80 default_server（HTTPS 同理）。

`return 444` 和 `return 403` 怎么选

return 444 是 Nginx 特有状态码，含义是“直接断开 TCP 连接”，不发任何响应头或响应体。这对封禁 IP 访问最干净：节省带宽、减少日志噪音、避免被扫描器识别出服务存在。

return 403 会返回完整 HTTP 响应（含 Content-Length: 0 等），适合需要返回自定义提示页的场景，但必须配合 error_page 才能生效：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

server {
    listen 80 default_server;
    server_name _;
    return 403;
    error_page 403 /403.html;
}
location = /403.html {
    root /usr/share/nginx/html;
}

若只想快速切断连接，无条件用 return 444
若已配了全局 error_page 403，注意它不会自动继承到这个兜底块，必须显式声明
return 500 或重定向（如 rewrite ... permanent）都不推荐——前者暴露服务，后者可能给恶意解析导流

HTTPS 也要单独配一个兜底块

HTTP 和 HTTPS 是两个独立监听端口，listen 80 default_server 对 listen 443 完全无效。如果开了 HTTPS，必须额外加一个：

server {
    listen 443 ssl default_server;
    server_name _;
    ssl_certificate /dev/null;  # 占位用，实际不可用
    ssl_certificate_key /dev/null;
    return 444;
}

关键点：

ssl_certificate 和 ssl_certificate_key 必须存在且路径合法，否则 nginx -t 报错；用 /dev/null 是最小代价占位方案
不能复用已有业务块的证书——那会导致未备案域名通过 HTTPS 直接命中业务逻辑
若用 Let’s Encrypt 等自动签发工具，注意它可能覆盖或删除这个兜底块，部署后要人工校验