在 Nginx 配置中限制特定 IP 段访问后台管理路径，最推荐的做法是在 location 块中使用 allow 和 deny 指令。该配置方式适用于 HTTP 层访问控制，风险边界在于配置顺序错误可能导致管理员自身被锁定。

命令速用版

location /admin/ {
    allow 192.168.1.0/24;
    allow 10.0.0.5;
    deny all;
    # 其他配置...
}

将该配置片段放入 server 块中，替换 IP 段为实际允许的管理网段。

为什么会这样

Nginx 按顺序匹配 allow 和 deny 指令，命中即停止。

ngx_http_access_module 模块会依次检查请求 IP 是否匹配规则列表，一旦匹配到 allow 或 deny 即结束检查并返回结果。如果所有规则都不匹配，默认行为是允许访问，因此必须显式添加 deny all 作为兜底。

分步处理

步骤 1：备份配置文件

cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak

步骤 2：编辑配置

找到对应的 server 块，添加 location 匹配后台路径，填入 allow 和 deny 规则。

步骤 3：测试语法

nginx -t

确保输出 syntax is ok 和 test is successful。

步骤 4：重载服务

nginx -s reload

怎么验证是否生效

使用 curl 命令模拟不同 IP 请求，检查状态码。

curl -I http://your-domain.com/admin/

允许 IP 应返回 200 OK，非允许 IP 应返回 403 Forbidden。查看 Nginx 错误日志 /var/log/nginx/error.log 确认是否有 access forbidden by rule 记录。

常见坑

• 规则顺序颠倒：deny all 放在 allow 之前会导致所有 IP 被拒绝。
• CIDR 写法错误：IP 段掩码计算错误导致范围过大或过小。
• IPv6 忽略：仅配置 IPv4 规则可能导致 IPv6 地址绕过限制。
• 重载失败：未通过 nginx -t 直接 reload 可能导致服务中断。

常见问题

配置生效后我被锁在外面怎么办

通过服务器控制台或 SSH 直接登录服务器，修改 Nginx 配置临时允许所有 IP，重载后再逐步排查。

可以使用域名代替 IP 进行限制吗

不可以，Nginx 的 access 模块仅支持 IP 地址和 CIDR 网段，不支持域名解析。

IP 访问限制能隐藏后台路径吗

不能，非允许 IP 仍然知道路径存在，只是无法访问，如需隐藏需配合其他认证机制。

参考来源

• Nginx Official Documentation, Module ngx_http_access_module, http://nginx.org/en/docs/http/ngx_http_access_module.html