Nginx 访问控制怎么结合防火墙 iptables 规则实现网络层封禁-Nginx-PHP中文网

nginx 无法切断 tcp 连接，真正网络层封禁需依赖 iptables；二者应分层协同：nginx 识别异常行为并输出日志，iptables 在流量进入前硬拦截，通过日志提取 ip 并动态插入 drop 规则实现精准、快速、不重启的阻断。

nginx 访问控制怎么结合防火墙 iptables 规则实现网络层封禁

Nginx 本身工作在应用层（第7层），它的 deny、limit_req 等指令只能控制请求是否被处理或限流，无法真正切断 TCP 连接。要实现网络层封禁（第3/4层），必须让流量在进入 Nginx 前就被系统防火墙拦截——iptables 就是 Linux 下最直接有效的手段。两者结合的关键不是“替代”，而是分层协同：Nginx 负责识别异常行为，iptables 负责快速阻断连接。

用 Nginx 日志触发 iptables 封禁

核心逻辑是：从 access.log 中提取高频、可疑的 IP，验证后调用 iptables 插入 DROP 规则。

Nginx Config Linter

对 Nginx 配置文件进行语法检查、验证和安全、性能审计。

下载

聚焦真实客户端 IP
若有 CDN 或反向代理，确保日志中 $remote_addr 已还原为真实 IP：

set_real_ip_from 10.0.0.0/8;      # 根据实际可信代理网段调整  
real_ip_header X-Forwarded-For;  
log_format main '$remote_addr - $remote_user [$time_local] "$request" $status ...';

提取异常 IP 的常用命令
比如最近 5 分钟内 404 请求超 20 次的 IP：

awk -v d1="$(date -d '5 minutes ago' '+%d/%b/%Y:%H:%M')" \
    -v d2="$(date '+%d/%b/%Y:%H:%M')" \
    '$4 > d1 && $4  20 {print $2}' | sort -u

安全添加 iptables 规则
避免重复插入、确保规则生效顺序：

for ip in $ABNORMAL_IPS; do
  # 检查是否已存在该规则  
  if ! iptables -C INPUT -s "$ip" -j DROP 2>/dev/null; then
    # 插入到链首，防止被后续 ACCEPT 绕过  
    iptables -I INPUT 1 -s "$ip" -j DROP  
    echo "$(date): blocked $ip" >> /var/log/nginx/ban.log  
  fi  
done

同步处理 IPv6 和持久化保存

IPv6 必须单独处理，否则扫描器可轻易绕过：
```
ip6tables -I INPUT 1 -s 2001:db8::1 -j DROP  
```

封禁规则默认重启失效，需保存：

# CentOS/RHEL  
service iptables save  
# 或使用  
iptables-save > /etc/sysconfig/iptables

配合 Nginx 内置模块做前置过滤

iptables 是最终防线，但高频扫描可能已占满连接资源。建议叠加 Nginx 层防护：

使用 limit_conn_zone 控制单 IP 并发连接数（如限制为 3～5），在连接建立阶段就抑制扫描器：

http {
  limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;
  server {
    location / {
      limit_conn conn_per_ip 5;
    }
  }
}

开启 stub_status，配合 ss 命令实时查看外网 IP 并发连接数，快速定位异常源：

ss -tn src 'not 127.0.0.1' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -10

这样组合下来，Nginx 负责“看”（日志分析 + 连接监控），iptables 负责“砍”（网络层硬拦截），既准又快，不依赖 reload，也不影响正常服务。