access模块是nginx默认内置的基础http模块，无需--with-http_access_module参数启用，但需在http/server/location块中显式配置allow/deny指令才生效；若nginx -t不报错且无unknown directive提示，即表示模块可用。
Nginx 的 ngx_http_access_module（即 Access 模块）是默认内置的基础模块，不需要额外加 --with-* 参数启用，只要源码编译时未显式禁用，它就自动可用。
但要注意：它默认编译进去了，不等于默认开启或自动生效——你必须在配置文件中显式使用 allow/deny 指令，且确保语法位置正确，模块才会起作用。
确认 Access 模块是否已编译进 Nginx
运行以下命令查看编译参数：
nginx -V 2>&1 | grep -o "with-http_access_module"
如果输出为空，说明该模块被禁用了（极少见）；若无输出但模块仍可用，是因为它属于“默认启用、无需声明”的基础模块，不体现在 nginx -V 中。更可靠的方式是直接测试配置：
location /admin {
deny 192.168.2.100;
allow 192.168.2.0/24;
deny all;
}
保存后执行 nginx -t，如果不报 unknown directive "allow" 或 "deny"，就说明模块已就绪。
编译时如何确保 Access 模块可用
它不依赖外部库，也不需要额外安装开发包，但有两点关键约束：
Teleport tsh SSH (Identity-First SSH Access, no passwords/static keys)
下载
使用tbot机器ID身份文件配合tsh CLI，通过Teleport访问控制SSH登录托管主机或执行远程命令。
-
不能被显式禁用：如果你在
./configure中写了--without-http_access_module，那它就会被移除。 -
需保留基础 HTTP 模块链：Access 模块属于 HTTP 框架的一部分，只要启用了
--with-http_core_module（这是必然的），它就自然存在。
所以，正常编译 Nginx 时，只要不加 --without-http_access_module，就不用做任何特殊操作。
常见安全型编译命令示例（含 Access 模块）：
./configure \ --prefix=/usr/local/nginx \ --with-http_ssl_module \ --with-http_v2_module \ --with-http_realip_module \ --with-http_stub_status_module # 不加 --without-http_access_module → 模块默认启用
配置 Access 模块的要点
该模块只在 http、server 或 location 块中生效，规则按自上而下顺序匹配，命中即终止：
-
allow和deny可混合使用 -
deny all应放在最后，否则会拦截所有请求 - 支持 IPv4、IPv6、CIDR 表达式（如
10.0.0.0/8、2001:db8::/32） - 若配合
geo或map使用，可实现更灵活的黑白名单逻辑
示例（限制后台仅内网访问）：
location /api/admin {
allow 172.16.0.0/12;
allow ::1;
deny all;
}
常见问题排查
-
nginx: [emerg] unknown directive "allow"
→ 编译时被--without-http_access_module禁用了，重编译并去掉该参数。 -
规则不生效
→ 检查是否写在了events{}或stream{}块里（无效位置）；确认没有拼写错误（如alow）；检查deny all是否提前截断了后续allow。 -
IPv6 地址拒绝失败
→ 确保 Nginx 编译时启用了--with-ipv6（新版默认开启），且系统支持 IPv6 协议栈。
不复杂但容易忽略——模块本身不用开，但用错位置、写反顺序、或误加禁用参数，都会让它“看似不存在”。
