如何在 nginx 上阻止 IP 地址

Nginx是一种流行的开源Web服务器，以其速度和多功能性而闻名。但是，随着 Web 应用程序的普及，它们可能会成为恶意活动的目标，从而使安全性成为重中之重。增强Nginx服务器安全性的一种有效方法是阻止不需要的或可能有害的IP地址。在本综合指南中，我们将引导您完成使用命令行阻止 Nginx 中的 IP 地址的过程，为您提供针对威胁的强大防御。

如何在 nginx 上阻止 IP 地址

了解 IP 地址阻止

IP 地址阻止的概念

IP 地址阻止是一种安全措施，用于防止从特定 IP 地址或范围访问您的 Web 服务器。通过拒绝恶意或不需要的访问者的访问，您可以保护您的服务器、提高性能并保护敏感数据。

nginx 中 IP 阻止的常见用例

1. 缓解 DDoS 攻击

防止攻击者通过分布式拒绝服务（DDoS）攻击使您的服务器不堪重负。

2. 阻止恶意机器人

识别和阻止未经许可抓取您内容的网络爬虫或机器人。

3. 防止暴力攻击

通过在多次登录尝试失败后阻止 IP 地址，保护您的服务器免受未经授权的访问尝试。

优点和潜在缺点

好处：

增强的安全性：通过阻止可能有害的 IP 来减少攻击面。
改进的性能：通过防止不必要的流量来减少服务器负载。
资源保护：确保您的服务器资源是为真正的用户保留的。

潜在的缺点：

误报：意外阻止合法用户。
复杂性：管理和维护不断增长的被阻止 IP 列表可能具有挑战性。

准备你的 Nginx 环境

在开始阻止 IP 地址之前，请确保您的 NGINX 环境设置正确。

确保安装了 Nginx

首先，确保NGINX已安装在您的服务器上。如果不是，您可以使用以下命令安装它：

<span class="com"># For Debian/Ubuntu #</span><span class="pln">
sudo apt update
sudo apt install <a href="https://www.edge66.com/edgetag/nginx" title="查看更多关于nginx的文章" target="_blank">nginx</a>

</span><span class="com"># For CentOS/RHEL #</span><span class="pln">
sudo dnf install <a href="https://www.edge66.com/edgetag/nginx" title="查看更多关于nginx的文章" target="_blank">nginx</a></span>

访问 nginx 配置文件

NGINX的配置文件通常位于.您可以使用首选的文本编辑器对其进行编辑。让我们在这个例子中使用nano：/etc/nginx/nginx.conf

<span class="pln">sudo nano </span><span class="pun">/</span><span class="pln">etc</span><span class="pun">/</span><span class="pln"><a href="https://www.edge66.com/edgetag/nginx" title="查看更多关于nginx的文章" target="_blank">nginx</a></span><span class="pun">/</span><span class="pln"><a href="https://www.edge66.com/edgetag/nginx" title="查看更多关于nginx的文章" target="_blank">nginx</a></span><span class="pun">.</span><span class="pln">conf</span>

备份您的 nginx 配置

在进行任何更改之前，请创建Nginx配置文件的备份，以便在出现问题时轻松恢复到以前的状态：

<span class="pln">sudo cp </span><span class="pun">/</span><span class="pln">etc</span><span class="pun">/</span><span class="pln">nginx</span><span class="pun">/</span><span class="pln">nginx</span><span class="pun">.</span><span class="pln">conf </span><span class="pun">/</span><span class="pln">etc</span><span class="pun">/</span><span class="pln">nginx</span><span class="pun">/</span><span class="pln">nginx</span><span class="pun">.</span><span class="pln">conf</span><span class="pun">.</span><span class="pln">bak</span>

识别目标 IP 地址

要有效地阻止 IP 地址，您需要确定要阻止的 IP 地址。有多种方法可以实现此目的：

跟踪恶意 IP 地址的方法

1. Nginx访问日志

Nginx日志可以提供有关传入请求的有价值的信息，包括IP地址。您可以分析这些日志以发现可疑或恶意活动。

2. 第三方工具

利用第三方安全工具和服务，如 Fail2Ban、ModSecurity 或入侵检测系统（IDS），帮助自动识别和阻止恶意 IP。

使用 NGINX 命令行阻止 IP 地址

现在，您已经准备好了Nginx环境并确定了目标IP地址，是时候使用命令行阻止它们了。

打开 nginx 配置文件

使用文本编辑器打开 Nginx 配置文件：

<span class="pln">sudo nano </span><span class="pun">/</span><span class="pln">etc</span><span class="pun">/</span><span class="pln">nginx</span><span class="pun">/</span><span class="pln">nginx</span><span class="pun">.</span><span class="pln">conf</span>

添加 IP 地址块的语法

在 NGINX 配置文件中，您可以在特定位置块中添加 IP 地址块。若要阻止 IP 地址，请使用以下语法：

<span class="pln">location </span><span class="pun">/</span> <span class="pun">{</span><span class="pln">
deny </span><span class="pun"><</span><span class="pln">IP_ADDRESS</span><span class="pun">>;</span>
<span class="com"># Add additional configuration if needed</span>
<span class="pun">}</span>

替换为要阻止的实际 IP 地址。例如，要阻止 IP 地址，您的配置可能如下所示：<IP_ADDRESS>192.168.1.100

<span class="pln">location </span><span class="pun">/</span> <span class="pun">{</span><span class="pln">
deny </span><span class="lit">192.168</span><span class="pun">.</span><span class="lit">1.100</span><span class="pun">;</span>
<span class="com"># Add additional configuration if needed</span>
<span class="pun">}</span>

指定块持续时间

您可以指定阻止是临时的还是永久的：

临时阻止：要暂时阻止 IP，您可以指定持续时间。例如，要阻止某个 IP 一小时，请使用：

<span class="pln">location </span><span class="pun">/</span> <span class="pun">{</span><span class="pln">
deny </span><span class="lit">192.168</span><span class="pun">.</span><span class="lit">1.100</span><span class="pun">;</span>
<span class="com"># Block for 1 hour</span><span class="pln">
allow </span><span class="lit">192.168</span><span class="pun">.</span><span class="lit">1.100</span><span class="pun">;</span>
<span class="pun">}</span>

- 永久阻止：对于永久阻止，只需将 IP 添加到配置中，而无需指定持续时间。
测试配置是否存在语法错误

在应用更改之前，必须测试 Nginx 配置是否存在语法错误。使用以下命令：

<span class="pln">sudo nginx </span><span class="pun">-</span><span class="pln">t</span>

如果没有错误，您将看到一条消息，确认配置有效。如果存在问题，该命令将提供有关错误的信息，允许您更正它们。

配置通过测试后，可以应用以下更改：

<span class="pln">sudo systemctl reload nginx</span>

IP 阻止的高级技术

阻止 IP 地址不限于基本配置。您可以采用高级技术来增强服务器的安全性。

为被阻止的 IP 创建自定义响应页

当 IP 被阻止时，您可以自定义它们收到的响应。例如，您可以创建一个自定义 HTML 页面，解释阻止的原因或将它们重定向到特定的 URL。

阻止 IP 范围和 CIDR 表示法

要有效地阻止多个 IP，您可以使用 CIDR（无类别域间路由）表示法。例如，要阻止整个 IP 范围，您可以使用：

<span class="pln">location </span><span class="pun">/</span> <span class="pun">{</span><span class="pln">
deny </span><span class="lit">192.168</span><span class="pun">.</span><span class="lit">1.0</span><span class="pun">/</span><span class="lit">24</span><span class="pun">;</span>
<span class="com"># Add additional configuration if needed</span>
<span class="pun">}</span>

使用正则表达式阻止多个 IP

正则表达式提供强大的模式匹配功能。您可以使用它们来阻止与特定条件匹配的 IP，例如 IP 地址范围或 IP 中的特定模式。

监控和管理被阻止的 IP 地址

阻止 IP 地址不是一次性任务;它需要持续的管理和监测。

检查 nginx 错误日志

定期检查 Nginx 错误日志（），以确保您的 IP 阻止规则正常工作并识别任何潜在问题。/var/log/nginx/error.log

将受信任的 IP 列入白名单

不要忘记将受信任的 IP 地址列入白名单，确保您不会意外阻止合法用户或服务。将白名单规则放在配置文件中的阻止规则之前。

使用脚本自动阻止 IP 地址

请考虑使用脚本和自动化来动态更新 IP 阻止规则。这可以帮助您快速响应新出现的威胁。

IP 地址阻止的最佳实践

维护安全的NGINX服务器涉及遵守最佳实践。

使您的 nginx 和服务器软件保持最新

定期更新Nginx和服务器的操作系统，以修补安全漏洞并确保您拥有最新的安全功能。

定期查看和维护您的阻止 IP 列表

定期查看阻止的 IP 列表，以删除过时的条目，并根据不断变化的威胁进行调整。

与安全工具和威胁情报协作

利用安全工具和威胁情报源随时了解新出现的威胁并增强您的 IP 阻止策略。

排查常见问题

尽管您尽了最大努力，但在实施 IP 阻止时可能会出现问题。以下是常见问题和解决方案：

解决配置错误的规则

如果您不小心阻止了合法流量，请检查您的 Nginx 配置是否存在错误，并相应地调整您的规则。

处理误报

如果遇到阻止合法用户的误报，请调查访问日志以确定原因并相应地调整规则。

在日益互联的世界中，保护您的Nginx Web服务器至关重要。使用命令行阻止 IP 地址可有效防御各种威胁，从 DDoS 攻击到恶意机器人。通过遵循本综合指南中概述的步骤，您可以增强服务器的安全性，同时确保合法用户继续不间断地访问您的服务。