必须在防火墙层面配置IP白名单，iptables需先设默认策略为DROP再添加允许规则，firewalld支持rich rule或source-based方式，Nginx可补充应用层控制，最后须验证规则生效。
如果您需要限制服务器仅响应特定IP地址的访问请求，而拒绝其余所有来源的连接，则必须在防火墙层面配置IP白名单。以下是针对Linux系统中iptables与firewalld两种主流工具的多种实战配置方法：
一、使用iptables配置IP白名单
iptables通过filter表的INPUT链实现入站流量控制，其规则按顺序匹配，一旦命中即执行动作且不再检查后续规则。配置白名单需先设置默认策略为DROP，再显式添加允许规则，确保逻辑严谨性与安全性。
1、将INPUT链默认策略设为丢弃：iptables -P INPUT DROP
2、放行本地回环接口：iptables -A INPUT -i lo -j ACCEPT
3、允许指定单个IP地址（如192.168.1.100）：iptables -A INPUT -s 192.168.1.100 -j ACCEPT
4、允许指定子网段（如10.0.1.0/24）：iptables -A INPUT -s 10.0.1.0/24 -j ACCEPT
5、保存规则以保证重启后持续生效：在CentOS/RHEL上执行service iptables save；在Debian/Ubuntu上使用iptables-save > /etc/iptables/rules.v4
二、使用firewalld配置IP白名单（基于zone+rich rule）
firewalld采用区域（zone）模型管理规则，支持富规则（rich rule）实现细粒度控制，适合动态环境且配置更直观。白名单需在public zone中添加源IP允许规则，并确保启用permanent参数持久化。
1、确认firewalld服务正在运行：systemctl status firewalld
2、若未运行则启动并设为开机自启：systemctl start firewalld && systemctl enable firewalld
3、添加单IP白名单规则（如192.168.1.100访问任意端口）：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" accept'
4、添加子网白名单规则（如10.100.47.0/24）：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.100.47.0/24" accept'
5、重新加载全部配置使规则生效：firewall-cmd --reload
三、使用firewalld的source-based白名单（简化方式）
firewalld支持直接将IP或子网绑定至特定zone，无需编写富规则语法，适用于仅需基础访问控制的场景。该方式将源地址归入trusted zone或自定义zone，从而继承对应策略。
1、创建新zone（可选，如名为whitelist）：firewall-cmd --permanent --new-zone=whitelist
2、将目标IP加入该zone：firewall-cmd --permanent --zone=whitelist --add-source=192.168.1.100
3、为该zone开放必要服务（如ssh）：firewall-cmd --permanent --zone=whitelist --add-service=ssh
4、重载配置：firewall-cmd --reload
四、Nginx应用层IP白名单（补充防护）
当Web服务需在应用层叠加访问控制时，可在Nginx配置中使用allow/deny指令实现路径级白名单，该机制独立于系统防火墙，形成纵深防御。注意deny all必须置于所有allow之后，否则将被提前截断。
1、编辑站点配置文件，在server块内添加location块：location /liblog/ {
2、添加允许规则（如10.100.47.110）：allow 10.100.47.110/32;
3、添加另一允许规则（如10.100.47.111）：allow 10.100.47.111/32;
4、末尾添加拒绝所有：deny all;
5、保存配置并重载Nginx：nginx -t && nginx -s reload
五、验证白名单是否生效
配置完成后必须验证规则是否正确加载并实际拦截非授权请求，避免因语法错误或顺序问题导致策略失效。验证过程应覆盖允许与拒绝两类行为，确保黑白名单边界清晰。
1、查看当前iptables规则及行号：iptables -L INPUT -n --line-numbers
2、查看firewalld全部活动规则：firewall-cmd --list-all
3、检查富规则是否存在：firewall-cmd --list-rich-rules
4、从白名单IP发起curl测试：curl -I http://localhost
5、从非白名单IP发起相同请求，确认返回连接超时或拒绝响应
