Nginx客户端IP访问控制有五种方法：一、allow/deny指令直接配置；二、include外部黑白名单文件；三、geo模块定义变量+if判断；四、iptables系统层过滤；五、firewalld rich rule机制。
如果您在Linux系统中运行Nginx服务，希望对客户端IP访问实施精确控制，则可能是由于安全策略或业务隔离需求要求限制特定来源的请求。以下是实现该目标的多种配置方法：
一、使用allow/deny指令在server或location块中直接配置
该方法适用于规则数量较少、站点结构清晰的场景，通过在Nginx配置文件的server或location上下文中显式声明allow与deny语句，按顺序匹配并终止处理。注意：deny all必须置于最后以确保逻辑完整。
1、编辑对应虚拟主机配置文件，例如/etc/nginx/conf.d/example.com.conf
2、在server块内添加location / { } 区域
3、在location块中写入允许规则：allow 203.0.113.25;
4、继续添加另一条允许规则：allow 2001:db8::/32;
5、在所有allow语句之后添加拒绝全部：deny all;
6、执行nginx -s reload重载配置使生效
二、使用include方式集中管理黑白名单文件
该方法将IP控制规则抽离为独立文件，便于多站点复用与统一维护，避免重复书写，同时降低配置出错概率。规则文件需放置于Nginx可读路径，并在各需管控的location或server块中引用。
1、创建外部规则文件：sudo nano /etc/nginx/conf.d/ip_access.conf
2、在该文件中写入：allow 192.168.5.0/24;
3、继续写入：deny 192.168.5.101;
4、最后写入：deny all;
5、在目标server块的location / { } 中添加：include /etc/nginx/conf.d/ip_access.conf;
6、保存后执行nginx -t验证语法，再执行nginx -s reload
三、使用geo模块定义变量实现动态访问控制
该方法适用于规则频繁变更或需跨多个server复用逻辑的场景，通过geo指令预计算变量值，再结合if判断返回状态码，具备更高灵活性与可扩展性，且支持include外部IP列表。
1、在http块顶部添加geo定义：geo $admin_ip_allowed { default 0; 192.168.10.5 1; 2001:db8:1::1 1; }
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
2、在目标server块的location / { } 中插入判断逻辑
3、添加条件语句：if ($admin_ip_allowed = 0) { return 403; }
4、确保该server未启用satisfy any/all等冲突指令
5、执行nginx -t && nginx -s reload完成部署
四、使用iptables在系统层面对Nginx端口做IP过滤
该方法作用于网络协议栈底层，不依赖Nginx进程，可拦截所有发往指定端口（如80/443）的连接请求，适用于需全局强制限制且Nginx自身不可信的高安全等级环境。
1、设置INPUT链默认策略为DROP：sudo iptables -P INPUT DROP
2、放行本地回环接口：sudo iptables -A INPUT -i lo -j ACCEPT
3、允许特定IPv4地址访问80端口：sudo iptables -A INPUT -p tcp --dport 80 -s 192.168.2.10 -j ACCEPT
4、允许特定IPv6地址访问443端口：sudo ip6tables -A INPUT -p tcp --dport 443 -s 2001:db8::2 -j ACCEPT
5、保存规则至持久化文件：sudo iptables-save > /etc/iptables/rules.v4
五、使用firewalld的rich rule机制配置Nginx白名单
该方法基于firewalld服务的区域模型，通过富规则语法精准控制源IP对Nginx监听端口的访问权限，支持IPv4/IPv6混合策略，且规则可永久保存无需每次重启手动加载。
1、确认firewalld已启用：sudo systemctl is-active firewalld
2、向public zone添加单IP白名单：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.3.200" port port="80" protocol="tcp" accept'
3、添加子网段白名单：sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.10.0.0/16" accept'
4、重新加载全部规则：sudo firewall-cmd --reload
5、验证当前生效规则：sudo firewall-cmd --list-all
