Nginx虚拟主机IP黑白名单须在server块中配置allow/deny指令，按server_name隔离各站点规则；白名单需先列allow再deny all，黑名单则deny在allow all之前；CDN场景需配合real_ip_module获取真实IP。
Nginx 在 Virtual Host（即 server 块）中配置 IP 黑白名单，核心是把 allow 和 deny 指令写进对应域名的 server 块里，而不是放在全局 http 层或错误地塞进 location 里却忽略 satisfy 逻辑。每台服务器跑多个域名时，黑白名单必须按站点隔离，否则会互相干扰。
每个域名独立控制，互不影响
Nginx 通过 server_name 区分不同站点。你得为 admin.example.com 单独写一套规则，www.example.com 另写一套，两者完全不共享。比如：
server {
listen 80;
server_name admin.example.com;
location / {
allow 192.168.50.0/24;
allow 203.0.113.7;
deny all;
}
}
server {
listen 80;
server_name www.example.com;
location / {
deny 198.51.100.22;
deny 203.0.113.0/28;
allow all;
}
}白名单：只放行指定 IP，其余一律拒绝
适用于后台、API 管理路径等敏感入口。关键逻辑是“先列允许项，最后兜底拒绝”：
- 支持单 IP（如
allow 127.0.0.1;）、IPv4 网段（如allow 10.0.0.0/8;）、IPv6（如allow 2001:db8::/32;） - 所有
allow必须写在deny all;之前，否则未匹配请求默认放行 - 不要漏掉
deny all;—— 它不是可选的，而是白名单生效的前提
黑名单：禁止特定 IP，其余照常访问
适合临时封禁扫描器、恶意请求源。重点是顺序不能颠倒：
-
deny规则写在allow all;前面，一条一条列 -
allow all;必须放在最后，作为默认通行策略 - 多条
deny可叠加，Nginx 遇到第一个匹配就终止检查
HTTPS 和 CDN 场景下要注意真实 IP
如果你用了 Cloudflare、阿里云 CDN 或反向代理，$remote_addr 会变成节点 IP，不是用户真实地址。这时需：
- 启用
real_ip_module - 配置
set_real_ip_from指定可信代理 IP 段 - 把
remote_addr替换为$http_x_forwarded_for或其他头字段（需配合real_ip_header）
配置文件位置与生效方式
- 推荐把规则写在
/etc/nginx/conf.d/your-site.conf的server块内 - 修改后运行
nginx -t验证语法，再执行nginx -s reload生效 - 别直接改
nginx.conf主文件，容易混淆且不利于维护
不复杂但容易忽略细节。
