nginx管理后台ip加固需四层协同：①location内用allow/deny白名单限ip段与单ip，以deny all结尾；②防火墙封后端端口（如8080），仅放行docker网段和运维ip；③拦截非法方法、敏感uri及伪造host头；④启用real_ip模块并单独记录管理日志。
在 Nginx 反向代理中为管理后台做 IP 安全加固，核心是“只放行可信来源 + 严格隔离路径 + 防止绕过”，不能只靠一层规则，需多层协同生效。
只允许指定 IP 段访问管理后台路径
使用 allow/deny 指令限制 location 块，这是最直接有效的方式。规则必须按顺序写，且以 deny all; 结尾，否则未匹配的 IP 默认放行。
- 支持 CIDR（如 10.160.37.0/24）、单 IP（10.160.37.152）、IPv6
- 只能放在 http → server → location 层，不适用于 stream 模块
- 示例：仅允许公司办公网段和运维固定 IP 访问
/admin
allow 10.160.37.0/24;
allow 10.160.37.152;
deny all;
proxy_pass http://backend_admin;
proxy_set_header Host $host;
}
禁止通过 IP 直接访问管理后台服务
即使 Nginx 层做了限制，后端服务（如 8080 端口）若对外暴露，仍可能被绕过代理直连。必须配合系统防火墙封锁非授权访问。
- 用 iptables 或 nftables 限制后端端口（如 GeoServer 的 8080）
- 只放行 Docker 网段（如 172.17.0.0/16，Nginx 容器所在网段）和可信运维 IP
- 拒绝所有其他来源，规则顺序必须是“先 accept 后 reject”
iptables -I INPUT -p tcp --dport 8080 -s 172.17.0.0/16 -j ACCEPT
# 放行运维 IP
iptables -I INPUT -p tcp --dport 8080 -s 10.160.37.152 -j ACCEPT
# 拒绝其余所有
iptables -A INPUT -p tcp --dport 8080 -j DROP
防止代理层被绕过或滥用
仅靠 IP 白名单不够，还需堵住常见绕过路径：
- 在管理后台 location 中加 if 判断，拦截非法请求方法或敏感 URI：
if ($request_method !~ ^(GET|POST|HEAD)$) { return 405; }
if ($request_uri ~* "/config|/sql|/actuator") { return 403; } - 校验 Host 头，拒绝非预期域名：
if ($host !~ ^(admin.example.com|manage.example.com)$) { return 403; } - 禁用默认 server 块响应，避免 IP 直连返回默认页：
server { listen 80 default_server; return 444; }
增强可信链路与日志审计
IP 本身可伪造，需结合其他维度提升可信度：
- 启用 real_ip_header 和 set_real_ip_from，确保获取真实客户端 IP（尤其在有 CDN 或多层代理时）
- 记录访问日志时保留原始 IP：
log_format admin_log '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$http_x_forwarded_for"'; - 对管理后台 location 单独配置 access_log，便于快速审计异常访问
