应通过宝塔防火墙白名单、Nginx的allow/deny指令或Apache的.htaccess Require ip规则，仅允许192.168.0.0/16、10.0.0.0/8、172.16.0.0/12内网IP访问，再分别重载服务并验证局域网正常、公网403、本地200。

如果您在宝塔面板中部署了Web服务，但希望仅允许内网私有IP地址访问（如192.168.x.x、10.x.x.x、172.16.x.x–172.31.x.x），则需通过防火墙规则与Nginx/Apache访问控制协同配置。以下是实现该策略的具体操作步骤：

一、启用并配置宝塔内置防火墙

宝塔面板自带防火墙模块可对入站连接进行IP段过滤，优先拦截非内网请求，降低后端服务压力。

1、登录宝塔面板，在左侧菜单栏点击安全，进入防火墙管理界面。

2、确认防火墙状态为已启动；若未启动，点击右上角“启动”按钮启用。

3、在“IP黑名单”区域下方，点击添加白名单按钮。

4、在弹出框中输入内网私有IP段，每行一个，例如：
192.168.0.0/16
10.0.0.0/8
172.16.0.0/12

5、勾选仅允许白名单IP访问选项，点击提交保存。

二、在网站配置中设置Nginx访问限制

Nginx层面的allow/deny指令可对特定站点实施更精细的IP控制，适用于多站点共存且需差异化策略的场景。

1、在宝塔面板左侧点击网站，找到目标站点，点击右侧设置按钮。

2、切换至配置文件选项卡，在server块内、location /块上方插入以下配置：

2、添加如下语句：
allow 192.168.0.0/16;
allow 10.0.0.0/8;
allow 172.16.0.0/12;
deny all;

3、点击右上角保存，再点击重载Nginx使配置生效。

三、通过Apache .htaccess实现访问控制（仅限Apache环境）

若站点使用Apache作为Web服务器，可通过站点根目录下的.htaccess文件定义IP访问范围，无需修改主配置。

1、进入目标站点根目录（如/www/wwwroot/example.com），检查是否存在.htaccess文件；若无，新建一个。

2、在文件中写入以下内容：

Require ip 192.168
Require ip 10
Require ip 172.16

3、返回宝塔面板，在网站设置中切换至Apache配置选项卡，确认启用.htaccess已勾选。

4、点击重载Apache使规则立即生效。

四、验证内网访问策略是否生效

策略配置完成后，需从不同网络环境发起访问测试，确认拒绝逻辑正确执行，避免误封或放行。

1、从局域网内任一设备（如192.168.1.100）访问该站点URL，页面应正常加载。

2、从公网IP（如手机4G网络）访问同一URL，应返回403 Forbidden或连接被拒绝提示。

3、登录服务器终端，执行命令：curl -I http://localhost，确认本地回环访问返回200 OK。