Nginx中为单个虚拟主机启用IP黑名单需在对应server块内按“deny IP; ... allow all;”顺序配置，白名单则用“allow IP; ... deny all;”，关闭限制即不写任何allow/deny指令或用allow all;覆盖。

在 Nginx 的 server 块中为特定虚拟主机启用或禁用 IP 黑名单，核心是把控制逻辑写在对应域名的 server 块内，而不是全局或共用 location 中。它不依赖开关式配置项，而是通过 allow/deny 指令组合实现“开启”或“关闭”效果。

为单个虚拟主机启用黑名单（禁止指定 IP）

适用于屏蔽已知恶意源、扫描段等场景。关键在于“先拒绝，再放行全部”，顺序不能颠倒：

• 在目标 server 块的 location 或直接在 server 级别写 deny 规则
• 每条 deny 后跟具体 IP 或 CIDR 网段，例如 deny 198.51.100.0/24;
• 最后必须加 allow all;，否则所有请求都会被默认拒绝

示例（仅对 admin.example.com 生效）：

server {
  listen 80;
  server_name admin.example.com;
  root /var/www/admin;
  location / {
    deny 203.0.113.5;
    deny 198.51.100.12;
    allow all;
  }
}

为单个虚拟主机启用白名单（只允许指定 IP）

本质是“黑名单的反向逻辑”，即只放行特定来源，其余一律拦截。这相当于对该站点开启了严格访问控制：

• 先写多个 allow，支持 IPv4/IPv6 和 CIDR（如 allow 2001:db8::/32;）
• 所有 allow 写完后，必须紧跟 deny all;
• 没有 deny all，未匹配的请求会默认放行，失去控制意义

示例（仅允许公司内网和运维主机访问后台）：

Nginx Config Linter

对 Nginx 配置文件进行语法检查、验证和安全、性能审计。

下载

server {
  listen 443 ssl;
  server_name api.example.com;
  ssl_certificate ...;
  location / {
    allow 10.0.0.0/8;
    allow 172.16.0.0/12;
    allow 203.0.113.10;
    deny all;
  }
}

让某个虚拟主机完全绕过 IP 限制（即“关闭”黑名单）

所谓“关闭”，就是不写任何 allow/deny 指令，或显式取消限制逻辑：

• 最简单方式：不在该 server 块中添加任何访问控制指令
• 若已有通用规则被 include 进来，可用 allow all; 覆盖（放在最前）
• 避免在 http 或上级块误配 deny all，否则会影响所有站点

注意：Nginx 没有 ip_blacklist on/off 这类开关指令，所谓开启或关闭，全靠是否写入及如何组织 allow/deny。

进阶：用 geo + if 实现可复用的黑名单开关

适合多站点共用同一套黑名单，但又想按需启用或禁用：

• 在 http 块定义 geo 变量，例如标记被封 IP：geo $is_blocked { default 0; 192.168.1.100 1; }
• 在需要启用黑名单的 server 块中，用 if ($is_blocked) { return 403; }
• 在不需要限制的站点里，跳过这条 if 判断即可——等于“关闭”该黑名单

这种方式便于集中维护 IP 列表，也方便通过注释或条件判断快速启停某站点的限制逻辑。