Nacos 开源版本本身不直接提供 IP 白名单配置功能，限制特定 IP 注册需要在网络层（防火墙、安全组）或阿里云 MSE 控制台层面实现，开源版本建议结合 RBAC 权限控制和服务端鉴权共同完成。
先说结论：Nacos 开源版本没有内置 IP 白名单功能，需要通过外部网络设施或云服务商控制台实现 IP 限制，同时开启服务端鉴权配合 RBAC 模型控制注册权限。
- 先判断：确认你使用的是开源 Nacos 还是阿里云 MSE 托管实例，两者配置方式不同
- 优先做：开启 Nacos 服务端鉴权功能，配置 RBAC 角色限制写权限
- 再验证：使用受限账号或未授权 IP 尝试注册，确认返回 403 错误或连接被拒绝
- 注意：开启鉴权后控制台仍可访问，但需要登录账号密码
快速处理思路
配置主要通过两个层面完成：网络层 IP 限制 + 应用层权限控制。开源版本在网络设备或防火墙配置白名单，阿里云 MSE 实例可在控制台直接设置公网/内网白名单。
开源版本网络层配置示例：
iptables -A INPUT -p tcp `--dport` 8848 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp `--dport` 8848 -j DROP
阿里云 MSE 控制台路径：登录 MSE 控制台 → 注册配置中心 → 实例列表 → 单击实例 ID → 基础信息 → 公网白名单设置 → 编辑
为什么会这样
Nacos 开源版本的设计定位是服务注册与配置中心，IP 级别的访问控制属于网络层安全范畴，通常由防火墙、安全组或负载均衡器处理，不在应用服务自身直接实现。这意味着如果你需要限制哪些 IP 能注册服务，应该在更外围的网络基础设施层面配置规则。
但 Nacos 提供了应用层的权限控制机制：RBAC（基于角色的访问控制）。系统不直接给用户分配权限，而是先定义角色，给角色分配权限，再将用户绑定到角色。对于服务注册，关键动作是写 (w)，资源通常对应命名空间 ID、分组和服务名的组合。开启鉴权后，可以利用 RBAC 模型将用户的写权限限定在具体命名空间或服务名模式上，实现服务注册隔离。
分步处理
步骤 1：确认鉴权已开启
检查 Nacos 服务端配置文件 application.properties，确保以下配置为 true：
nacos.core.auth.enabled=true
修改后需重启 Nacos 服务端生效。注意：开启鉴权后，访问 Nacos 开源控制台需要登录账号密码，API 调用需携带 Token。
步骤 2：获取 API 访问 Token（自动化必备）
API 操作需先登录获取 Token，不再支持直接在参数中传递密码：
curl -X POST 'http://<nacos-ip>:8848/nacos/v1/auth/users/login' \ -d 'username=你的用户名&password=你的密码'
响应中将包含 accessToken 字段，复制该值用于后续请求。
步骤 3：配置 RBAC 角色权限（开源版本）
控制台路径：登录控制台 → 权限控制 → 角色管理 → 创建角色 → 添加权限 → 用户管理 → 绑定角色。权限资源格式通常为 namespaceId:group:service，支持通配符*。
权限资源字符串示例：
public:*:*：允许操作 public 命名空间下所有服务dev:group1:*：允许操作 dev 命名空间下 group1 分组的所有服务prod:*:order-service：允许操作 prod 命名空间下所有分组的 order-service 服务
若使用第三方 auth 插件，资源格式可能不同，请以实际插件文档为准。
步骤 4：配置客户端鉴权（关键步骤）
服务端开启鉴权后，客户端必须配置账号密码才能注册成功。以 Spring Cloud Alibaba 为例：
spring:
cloud:
nacos:
username: your_username
password: your_password
discovery:
server-addr: 127.0.0.1:8848步骤 5：配置网络层白名单（根据部署环境选择）
云服务器安全组：在云服务商控制台找到对应实例的安全组规则，添加入站规则，仅允许特定 IP 段访问 8848 端口。
阿里云 MSE 实例：在实例基础信息页面找到公网白名单设置，输入允许的 IP 地址段，格式为 X.X.X.X/X。白名单如果为空，任何地址都可访问该实例，有数据泄露风险。
怎么验证是否生效
验证网络层白名单：从白名单内的 IP 访问 Nacos 接口应正常，从白名单外的 IP 访问应连接被拒绝或超时。可以使用 curl 测试：
curl -v http://<nacos-ip>:8848/nacos/v1/ns/instance
验证 RBAC 权限：使用受限账号尝试注册未授权服务，确认返回 403 错误。API 调用需携带 AccessToken：
curl -X POST 'http://<nacos-ip>:8848/nacos/v1/ns/instance?serviceName=test-service&ip=1.1.1.1&port=8080' \ -H 'accessToken: 你的 Token 值'
检查日志：查看 Nacos 服务端日志，确认被拒绝的访问请求有相应的拒绝记录。
常见坑
1. 开源版与控制台版混淆：Nacos 开源版本本身不具备直接配置 IP 白名单的能力，阿里云 MSE 托管实例才支持在控制台设置白名单。不要在不支持的功能上浪费时间。
2. 鉴权开启后控制台访问变化：开启 Nacos 鉴权功能之后，Nacos 开源控制台仍可访问，但必须输入正确的用户名和密码登录，未登录状态将无法操作。配置前请确认访问方式。
3. 白名单格式与含义：IP 地址段需用 CIDR 表示，如 192.168.1.0/24。白名单为空表示允许所有地址访问；若配置 127.0.0.1/32，则表示仅允许本地访问，其他 IP 将被拒绝。
4. 忘记重启服务：修改鉴权配置或白名单后，需重启 Nacos 服务才能使配置生效。
5. 客户端未配置鉴权：服务端开启鉴权后，若客户端未配置 username/password，将导致注册失败，日志通常报 403 Forbidden。
参考来源
- CSDN 博客 - Nacos 权限控制 RBAC 模型如何配置角色限制服务注册权限
- 阿里云开发者社区 - 为 Nacos 配置 IP 白名单以限制服务注册
- 阿里云帮助中心 - 设置白名单（公网白名单/内网白名单配置说明）
- 阿里云开发者社区问答 - nacos2.1x 版本如何开启 ACL 列表或设置内网注册白名单
- GitHub 社区讨论 - nacos 如何配置白名单（关于开源版本 IP 白名单能力的说明）
- 阿里云 MSE 文档 - Nacos Client 访问鉴权配置指南