一、黑/白名單IP限制存取設定

nginx設定黑白名單有好幾種方式，這裡只介紹常用的兩種方法。

1、第一種方法：allow、deny

deny和allow指令屬於ngx_http_access_module，nginx預設載入此模組，所以可直接使用。

這種方式，最簡單，最直接。設定類似防火牆iptable，使用方法：

直接設定檔中新增：

#白名單設置，allow后面為可訪問IP 
location / {
     allow 123.13.123.12;
     allow 23.53.32.1/100;
     deny  all;
}

#黑名單設置，deny后面接限制的IP，為什么不加allow all? 因為這個默認是開啟的 
location / {
     deny 123.13.123.12;
}

#白名單，特定目錄訪問限制
location /tree/list {
     allow 123.13.123.12;
     deny  all;
}

或透過讀取檔案IP設定白名單

location /{
    include /home/whitelist.conf;
    #默認位置路徑為/etc/nginx/ 下，
    #如直接寫include whitelist.conf，則只需要在/etc/nginx目錄下創(chuàng)建whitelist.conf
    deny all;
}

在/home/目錄下創(chuàng)建whitelist.conf，並寫入需要加入白名單的IP，添加完成後查看如下：

cat /home/whitelist.conf

#白名單IP
allow 10.1.1.10;
allow 10.1.1.11;

白名單設定完成，黑名單設定方法一樣。

2：第二種方法，ngx_http_geo_module

預設情況下，一般nginx是有加該模組的，ngx_http_geo_module：官方文檔，參數(shù)需設定在位置在http模組。

此模組可設定IP限制，也可設定國家地區(qū)限制。位置在server模組外即可。

語法範例：

設定檔直接新增

geo $ip_list {
    default 0;
    #設置默認值為0
    192.168.1.0/24 1;
    10.1.0.0/16    1;
}
server {
    listen       8081;
    server_name  192.168.152.100;
    
    location / {
        root   /var/www/test;
		index  index.html index.htm index.php;
		if ( $ip_list = 0 ) {
		#判斷默認值，如果值為0，可訪問，這時上面添加的IP為黑名單。
		#白名單，將設置$ip_list = 1，這時上面添加的IP為白名單。
		proxy_pass http://192.168.152.100:8081;
    }

同樣可透過讀取檔案IP設定

geo $ip_list {
    default 0;
    #設置默認值為0
    include ip_white.conf;
}
server {
    listen       8081;
    server_name  192.168.152.100;
    
    location / {
        root   /var/www/test;
		index  index.html index.htm index.php;
		if ( $ip_list = 0 ) {
			return 403;
			#限制的IP返回值為403，也可以設置為503，504其他值。
			#建議設置503，504這樣返回的頁面不會暴露nginx相關信息，限制的IP看到的信息只顯示服務器錯誤，無法判斷真正原因。
    }

在/etc/nginx目錄下建立ip_list .conf，新增IP完成後，查看如下：

cat /etc/nginx/ip_list.conf

192.168.152.1 1;
192.168.150.0/24 1;

當設定完成後，IP清單檔案ip_list.conf 將作為白名單，若請求的IP 不在名單中，則會直接傳回403頁。黑名單設定方法相同。

3、ngx_http_geo_module 負載平衡（擴展）

ngx_http_geo_module，模組還可以做負載平衡使用，如web集群在不同地區(qū)都有伺服器，某個地區(qū)IP段，負載平衡至訪問某個地區(qū)的伺服器。類似的方式是在IP後面添加自訂值，這些值不僅限於數(shù)字，還可以使用字母，例如US、CN等。

範例：

如果三臺伺服器：122.11.11.11，133.11.12.22，144.11.11.33

geo $country {
    default default;
    111.11.11.0/24   uk;
    #IP段定義值uk
    111.11.12.0/24   us;
    #IP段定義值us
    }
upstream  uk.server {
    erver 122.11.11.11:9090;
    #定義值uk的IP直接訪問此服務器
} 

upstream  us.server {
    server 133.11.12.22:9090;
    #定義值us的IP直接訪問此服務器
}

upstream  default.server {
    server 144.11.11.33:9090;
    #默認的定義值default的IP直接訪問此服務器
}
 
server {
    listen    9090;
    server_name 144.11.11.33;

    location / {
      root  /var/www/html/;
      index index.html index.htm;
     }
 }

然後在

二、國家地區(qū)IP限制存取

一些第三方服務例如cloudflare也提供設定選項，使防火牆規(guī)則的設定更加方便。這裡講講nginx的設定方法。

1：安裝ngx_http_geoip_module模組

ngx_http_geoip_module：官方文檔，參數(shù)需設定在位置在http模組。

nginx預設情況下不建置此模組，應使用 --with-http_geoip_module 配置參數(shù)啟用它。

對於ubuntu系統(tǒng)來說，直接安裝 nginx-extras元件，包括幾乎所有的模組。

sudo apt install nginx-extras

對於centos系統(tǒng)，安裝模組。

yum install nginx-module-geoip

2、下載 IP 資料庫

此模組依賴IP資料庫，所有資料在此資料庫中讀取，所有資料都需要下載ip庫（dat格式）。

MaxMind 提供了免費的 IP 地理資料庫，壞消息是MaxMind 官方已經(jīng)停止支援dat格式的ip函式庫。

在其他地方可以找到dat格式的文件，或是舊版的，當然資料不可能最新，多少有誤差。

下載同時包含Ipv4和Ipv6的country、city版本。

#下載國家IP庫，解壓并移動到nginx配置文件目錄，
sudo wget https://dl.miyuru.lk/geoip/maxmind/country/maxmind.dat.gz
gunzip maxmind.dat.gz
sudo mv maxmind.dat /etc/nginx/GeoCountry.dat

sudo wget https://dl.miyuru.lk/geoip/maxmind/city/maxmind.dat.gz
gunzip maxmind.dat.gz
sudo mv maxmind.dat /etc/nginx/GeoCity.dat

3、設定nginx

範例：

geoip_country /etc/nginx/GeoCountry.dat;
geoip_city /etc/nginx/GeoCity.dat;

server {
    listen  80;
    server_name 144.11.11.33;

    location / {
      root  /var/www/html/;
      index index.html index.htm;
      if ($geoip_country_code = CN) {
  			return 403;
 		#中國地區(qū)，拒絕訪問。返回403頁面
		}
  	}
 }

這裡，地區(qū)國家基礎設定就完成了。

Geoip其他參數(shù)：

國家相關參數(shù)：
$geoip_country_code #兩位字元的英文國家碼。如：CN, US
$geoip_country_code3 #三位字元的英文國家碼。如：CHN, USA
$geoip_country_name #國家英文全名。如：China, United States
城市相關參數(shù)：
$geoip_city_country_code #也是兩個字元的英文國碼。
$geoip_city_country_code3 #上同
$geoip_city_country_name #上同.
$geoip_region #這個經(jīng)測試是兩位數(shù)的數(shù)字，如杭州是02, 上海是 23。但沒有搜到相關資料，希望知道的朋友留言告之。
$geoip_city #城市的英文名稱。如：Hangzhou
$geoip_postal_code #城市的郵遞區(qū)號。經(jīng)測試，國內(nèi)這一字段為空
$geoip_city_continent_code #不知什麼用途，國內(nèi)好像都是AS
$geoip_latitude #緯度
$geoip_longitude #經(jīng)度

以上是網(wǎng)站怎麼透過nginx設定黑/白名單IP限制及國家城市IP存取限制的詳細內(nèi)容。更多資訊請關注PHP中文網(wǎng)其他相關文章！