Nginx IP访问控制核心是location块内按序配置allow放行内网网段、deny all兜底拒绝，且须通过set_real_ip_from和real_ip_header还原真实IP；写在http/server顶层或if块中均不生效。

在 Linux 上用 Nginx 实现 IP 访问控制，核心就是 allow 和 deny 指令的组合使用——不是“加白”，而是“先放行、再全拒”，顺序和位置稍错，整套规则就失效。

必须写在 location 块里才生效

这两个指令只在 http、server 或 location 块中有效，但实际业务中强烈建议只放在 location 里。比如限制后台路径 /admin/，就该这样写：

• location /admin/ {
•   allow 10.20.0.0/16;
•   allow 172.16.100.0/24;
•   deny all;
• }

写在 server 或 http 块里可能影响其他路径；写在 if 块里语法不报错，但完全不执行访问控制逻辑。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

顺序不能颠倒：allow 必须在 deny all 前面

Nginx 从上到下逐行匹配，命中即停。所以：

• 所有 allow 行必须排在最前面，支持单 IP（如 allow 192.168.5.20;）、IPv4 网段（如 allow 10.0.0.0/8;）、IPv6（如 allow 2001:db8::/32;）
• deny all; 必须是该 location 中最后一条访问控制指令
• 漏掉 deny all;，未匹配的请求默认放行，白名单形同虚设
• 如果写成 deny all; allow 10.0.0.0/16;，那所有请求第一步就被拒绝，后面那行永远不执行

代理环境下要还原真实客户端 IP

如果 Nginx 前面有 SLB、CDN 或 Traefik，$remote_addr 是代理 IP，不是用户真实出口 IP，直接 allow 就会失准。

• 确认上游透传了 X-Forwarded-For（或 X-Real-IP）头，且内容可信（需代理层清洗）
• 在 http 块中添加：
  set_real_ip_from 192.168.10.0/24;（替换成你实际的可信代理网段）
  real_ip_header X-Forwarded-For;
• 配置后，allow 判定的对象才是真实客户端 IP
• 漏掉 set_real_ip_from，就算写了 real_ip_header 也无效

验证是否真正生效

别只测一个内网 IP，要覆盖典型场景：

• 用内网最大地址（如 10.20.255.255）访问，应返回 200
• 用非内网 IP（如 11.0.0.1）访问，必须返回 403 Forbidden
• 查错误日志：tail -f /var/log/nginx/error.log，看到 access forbidden by rule 表示规则已加载但未放行
• 重载前务必运行 nginx -t 验证语法，避免非法 CIDR（如 /33）导致整块失效