nginx监控接口（如/status、/health等）应仅允许127.0.0.1和::1访问，通过location块中allow 127.0.0.1; allow ::1; deny all;实现精准放行与全局拒绝，且deny all必须置于最后；适用于stub_status或proxy_pass场景，配置后需nginx -t验证并reload。

Nginx 中为运维监控接口（比如 /status、/health 或自定义的 /monitor）仅开放本地访问，核心是限制来源 IP 为 127.0.0.1 和 ::1（IPv6 本地回环），同时确保该路径不被公网暴露。这不是单纯“放开”，而是“精准放行 + 全局拒绝”。

监控接口只允许本机访问

在对应 server 块或 location 块中，用 allow + deny 组合实现最小权限原则：

location /status {
    stub_status on;  # 如果启用 nginx 内置状态页
    allow 127.0.0.1;
    allow ::1;
    deny all;
}

• stub_status on 是 Nginx 自带的状态接口（需编译时启用 --with-http_stub_status_module）
• allow 127.0.0.1; 放行 IPv4 本机请求
• allow ::1; 放行 IPv6 本机请求（生产环境建议保留，避免因 IPv6 栈启用导致误拒）
• deny all; 拒绝所有其他来源 —— 这句必须放在最后，且不能省略

⚠️ 注意：allow/deny 的顺序敏感，Nginx 按配置顺序逐条匹配，第一条匹配即生效。所以 deny all 必须置于所有 allow 之后。

如果监控接口是后端服务（如 Prometheus /metrics）

假设你用 proxy_pass 转发到本地 Java/Python 服务，同样要控制入口：

Linux Distros

Linux发行版游乐场，适用于需要临时Linux沙箱、基于浏览器的Linux虚拟机、一次性终端环境、桌面Linux会话等场景

下载

location /metrics {
    proxy_pass http://127.0.0.1:9090/metrics;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;

    allow 127.0.0.1;
    allow ::1;
    deny all;
}

• 此处 allow/deny 作用于 Nginx 接收请求的阶段，在转发前就完成校验，后端无需再做 IP 过滤
• 不依赖后端鉴权，更安全、更高效

验证是否生效

1. 从服务器本机测试：

   curl http://127.0.0.1/status
   # 应返回 200 + 状态数据

2. 从其他机器（或用 curl -x 模拟外网）访问：

   curl http://your-server-ip/status
   # 应返回 403 Forbidden

3. 检查 Nginx 配置语法并重载：

   nginx -t && systemctl reload nginx

补充建议

• 不要把监控路径写在 server 块顶层，避免被默认 location / 意外匹配
• 若使用多个监控路径（如 /health, /readyz, /metrics），可统一归入一个 location ~ ^/(health|readyz|metrics|status)$
• 日志中可加条件记录，便于审计：

  access_log /var/log/nginx/monitor-access.log main if=$allowed;
  map $remote_addr $allowed {
      default 0;
      127.0.0.1 1;
      ::1 1;
  }

不复杂但容易忽略。