必须启用real_ip模块并设信任链，Nginx才能准确提取真实IP：配置set_real_ip_from声明可信代理段，real_ip_header指定X-Forwarded-For，开启real_ip_recursive on实现从右往左剔除代理IP，最终$remote_addr即为真实客户端IP，限流、封禁等策略须基于此变量生效。
在多级反向代理（比如客户端 → CDN → 负载均衡器 → Nginx → 后端应用）中做访问控制，前提是必须准确拿到客户端真实 IP。否则限流、封禁、地域白名单等策略全会失效。核心不是“能不能传”，而是“信谁、取哪个、怎么验”。
一、Nginx 配置必须启用 real_ip 模块并设好信任链
仅靠 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for 不够——那是给后端用的；Nginx 自己要解析真实 IP 做访问控制，得靠 http_realip_module。
-
确认模块已启用：运行
nginx -V 2>&1 | grep -o with-http_realip_module，有输出才说明可用 -
在 http 或 server 块里声明可信代理段：
set_real_ip_from 10.0.0.0/8;set_real_ip_from 172.16.0.0/12;set_real_ip_from 192.168.0.0/16;set_real_ip_from 100.64.0.0/10;（含运营商 CGNAT 地址段）set_real_ip_from 203.205.128.0/17;（示例 CDN 网段，按实际填） -
指定从哪个头读取真实 IP：
real_ip_header X-Forwarded-For;real_ip_recursive on;（开启递归解析，关键！）
开启 real_ip_recursive on 后，Nginx 会从右往左剔除所有已知代理 IP，剩下最左边那个非代理地址才是客户端真实 IP，并赋值给 $remote_addr —— 这样 limit_req、deny、geo 等指令才能真正生效。
二、上游代理必须规范传递 X-Forwarded-For
如果 CDN 或 LB 没加头，或自己伪造了头，Nginx 就无从判断。务必确保每一跳都只追加、不覆盖：
- 一级代理（如云厂商 LB）应设置：
X-Forwarded-For: $remote_addr（首次添加） - 后续每层 Nginx 代理必须用：
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
（$proxy_add_x_forwarded_for会自动拼接已有头 + 当前$remote_addr，避免覆盖） - 禁止手动写死
X-Forwarded-For $remote_addr，否则会丢掉前面的链路信息
三、访问控制规则要基于 $remote_addr，而不是读 Header
一旦 real_ip 配置生效，$remote_addr 就是真实客户端 IP。所有控制逻辑都应直接使用它：
- 限流：
limit_req_zone $remote_addr zone=perip:10m rate=10r/s; - 封禁 IP：
deny 192.168.3.11;（该 IP 已被 real_ip 解析为真实值） - 地域控制（配合 geo 指令）：
geo $client_country { default ""; include /etc/nginx/conf.d/country.conf; }if ($client_country = "CN") { set $blocked "1"; }
切勿在 access 控制中再手动解析 $http_x_forwarded_for —— 容易绕过、不可信、且与 real_ip 机制冲突。
四、验证是否生效：三步快速排查
改完配置 reload 后，加一条临时日志确认：
- 在 log_format 中加入：
log_format main '$remote_addr - $http_x_forwarded_for [$time_local] "$request" $status $body_bytes_sent'; - 从外网 curl 请求：
curl -H "X-Forwarded-For: 1.2.3.4" https://yoursite.com/test - 检查日志：
若$remote_addr是你真实出口 IP（不是中间代理），且$http_x_forwarded_for是完整链路（如1.2.3.4, 100.100.100.100, 10.0.1.5），说明 real_ip 正确提取了最左非代理地址
不复杂但容易忽略
