核心是“配置预加载 + 文件可替换 + 平滑重载”，用geo定义$bad_ip变量并include黑名单文件，map转为$blocked标记，再通过if($blocked){return 403}拦截，配合定时脚本更新文件后nginx -s reload生效。
Linux 下 Nginx 动态加载外部 IP 黑名单文件实现自动化封禁，核心是“配置预加载 + 文件可替换 + 平滑重载”，不依赖额外模块，纯原生 Nginx 即可稳定运行。关键在于避免直接写死 deny，而是用 geo 指令把黑名单映射为变量，再通过 map 和 if 实现拦截逻辑——这样只需更新外部文件、执行 nginx -s reload，就能让新规则生效，不影响现有连接。
用 geo + map 预加载黑名单（推荐主方案）
这是最轻量、兼容性最好、生产环境验证最多的做法。Nginx 启动时读取一次文件，后续变更靠外部脚本维护文件内容 + reload 触发重载。
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 在
http块中定义 geo 变量，把黑名单 IP 映射为 1，其余为 0：
geo $bad_ip {
default 0;
include /etc/nginx/conf.d/blacklist.conf;
} - 再用 map 转成易读的标记：
map $bad_ip $blocked {
1 "1";
default "";
} - 在
server或location中拦截：
if ($blocked) { return 403; }（注意：仅用于封禁，不用作复杂逻辑）
外部黑名单文件格式与更新方式
/etc/nginx/conf.d/blacklist.conf 是纯文本，每行一个 IP，格式严格为：
192.168.1.100 1;
203.204.10.5 1;
末尾必须带分号，且不能有空行或注释（geo 不支持 # 注释）。
- 脚本可定时生成该文件，例如统计 5 分钟内访问
/wp-login.php超过 20 次的 IP：
awk '$9==200 && $7~/\/wp-login\.php/ {print $1}' /var/log/nginx/access.log \
| sort | uniq -c | awk '$1 > 20 {print $2 " 1;"}' > /etc/nginx/conf.d/blacklist.conf - 更新前务必先校验语法：
nginx -t，成功后再执行nginx -s reload - 建议加锁或用
diff判断文件是否真有变化，避免无意义 reload
增强实用性的小技巧
纯 geo 方案虽简单，但稍加调整就能应对真实场景：
-
白名单优先：在
geo块顶部添加可信段，设为 0，它会覆盖后面同 IP 的 1：
192.168.0.0/16 0;
10.0.0.0/8 0;
default 0; -
合并 CIDR 提升性能：当黑名单 IP 达到数百个，用工具（如
iprange或 Python 的netaddr）自动聚合成网段，减少 geo 条目数 - 日志审计留痕：脚本每次更新文件时，同时记录时间、IP 数量、触发条件到独立日志，便于回溯
为什么不直接用 include deny？
有人尝试在配置里直接 include blacklist.conf，里面写满 deny 1.2.3.4;。这看似更直白，但存在两个硬伤：
– Nginx 不允许在 if 块外使用 deny 指令（会报错）；
– 若放在 server 块顶层，reload 时所有连接会短暂中断（尤其高并发下比 geo+reload 更敏感）。
geo+map 方案把封禁逻辑完全交给变量计算，性能更高，reload 更稳妥。
