Nginx 中如何禁止特定 IP 访问 Nginx 状态监控页面-Nginx-PHP中文网

最精准做法是在状态监控页面的location块内配置deny规则，仅允许指定IP访问/nginx-status路径，用geo模块或include外部文件管理黑名单，修改后需nginx -t验证再reload。

nginx 中如何禁止特定 ip 访问 nginx 状态监控页面

直接在状态监控页面所在的 location 块里加 deny 规则，是最精准、最常用的做法。不建议全局封禁，否则会影响正常业务。

只针对 status 页面做限制

假设你用的是 stub_status 模块（Nginx 自带），配置类似这样：

location /nginx-status {
    stub_status on;
    access_log off;
    allow 127.0.0.1;
    allow 192.168.10.0/24;
    deny all;
}

这段配置表示：仅允许本地回环和内网某网段访问 /nginx-status，其他所有 IP 请求都会返回 403。

顺序很重要：allow 和 deny 按书写顺序逐条匹配，第一条命中即生效；deny all 必须放在最后
不能只写 deny：如果只写 deny 203.201.10.5; 而没写 allow all;，其余 IP 默认仍可访问——除非你明确想“只拦个别 IP，其余全放行”
路径要严格对应：比如你把监控页设为 /status，那规则就得写在 location /status { ... } 里，而不是 /nginx-status

用 geo 模块管理多个黑名单 IP

当要屏蔽的 IP 较多（比如几十个恶意采集源），硬编码 deny 行会难维护。推荐用 geo 模块提前标记：

http {
    geo $bad_ip {
        default 0;
        203.201.10.5 1;
        185.143.22.12 1;
        2a02:8071:abcd::1 1;  # 支持 IPv6
    }
<pre class="brush:php;toolbar:false;">server {
    location /nginx-status {
        if ($bad_ip) {
            return 403;
        }
        stub_status on;
        access_log off;
    }
}

}

好处是逻辑清晰、支持 IPv6、便于批量更新，且不影响其他 location 的访问控制逻辑。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

配合 include 外部文件，便于运维协作

把黑名单单独存成文件，比如 /etc/nginx/conf.d/blacklist.conf：

deny 203.201.10.5;
deny 185.143.22.12;
deny 2a02:8071:abcd::1;

然后在对应 location 中引入：

location /nginx-status {
    include /etc/nginx/conf.d/blacklist.conf;
    allow 127.0.0.1;
    allow 192.168.10.0/24;
    deny all;
    stub_status on;
    access_log off;
}

这样安全团队可以独立维护黑名单文件，无需每次修改主配置，也避免误操作影响整体服务。