笙亿网络策划

生产环境如何配置 Nacos 访问控制列表 ACL 限制 IP 访问

约 6 分钟读完 30 阅
文章导读
Nacos 2.1.x 版本起通过 nacos.core.auth.enabled=true 开启 ACL 鉴权，配合 nacos.intranet.accepted-ips 配置可实现内网注册白名单，阿里云 Nacos 企业版实例（引擎版本>=3.0.1.1）支持最多 1000 条白名单规则且掩码必须>=16。
📋 目录
  1. Ⅰ 原因分析
  2. Ⅱ 解决方案
  3. Ⅲ 注意事项
  4. Ⅳ 参考来源
A A

生产环境如何配置 Nacos 访问控制列表 ACL 限制 IP 访问

核心结论：Nacos 2.1.x 版本起通过 nacos.core.auth.enabled=true 开启 ACL 鉴权，配合 nacos.intranet.accepted-ips 配置可实现内网注册白名单，阿里云 Nacos 企业版实例（引擎版本>=3.0.1.1）支持最多 1000 条白名单规则且掩码必须>=16。

原因分析

Nacos 作为服务发现和配置管理平台，在 2.0.3 及更早版本中本身不直接提供 IP 白名单功能，因为 IP 访问控制属于基础设施层面的安全配置而非 Nacos 核心功能范畴。根据 2024 年 9 月 26 日的官方解答，Nacos 主要关注服务发现、配置管理和动态 DNS 服务，而网络层访问控制需要借助外部设备实现。若 Nacos 暴露公网且未开启鉴权，使用默认密钥（SecretKey012345678901234567890123456789012345678901234567890123456789）极易遭受黑客攻击获取存储信息，这是 2024 年 4 月 28 日安全最佳实践中明确指出的高风险项。

解决方案

方案一：Nacos 2.1.x 版本 ACL 配置（自建部署）

步骤 1：开启 ACL 鉴权开关。编辑 nacos.properties 配置文件，设置 nacos.core.auth.enabled=true。对于镜像部署，环境变量为 NACOS_AUTH_ENABLE。

步骤 2：配置内网注册白名单。在 nacos.properties 中添加 nacos.intranet.accepted-ips=127.0.0.1,192.168.0.0/16，多个 IP 地址之间使用逗号分隔。若允许所有内网 IP 注册，可设置为 0.0.0.0/0。

步骤 3：修改默认密钥。配置文件中修改 nacos.core.auth.plugin.nacos.token.secret.key 或 nacos.core.auth.default.token.secret.key，镜像部署使用环境变量 NACOS_AUTH_TOKEN。同时修改 server.identity 默认值，配置项为 nacos.core.auth.server.identity.key 和 nacos.core.auth.server.identity.value。

步骤 4：重启 Nacos 服务使配置生效。此方案来自 2023 年 7 月 28 日河南用户发布的实战经验。

生产环境如何配置 Nacos 访问控制列表 ACL 限制 IP 访问

方案二：阿里云 Nacos 企业版白名单（云服务）

步骤 1：登录注册配置中心实例列表页面，选择目标实例所在地域。

步骤 2：单击目标实例 ID，在基础信息页面单击公网白名单设置右侧的编辑按钮。

步骤 3：输入允许访问的 IP 地址，格式为 X.X.X.X/X，掩码必须>=16（如 192.168.0.0/16、192.168.100.0/24）。多个地址段用英文半角逗号分隔，最多可配置 1000 条。

步骤 4：内网白名单仅支持 Nacos 企业版实例，且实例引擎版本必须>=3.0.1.1。若 IP 地址设置为 127.0.0.1/32，表示禁止所有地址访问。此方案收录于 2026 年 4 月 23 日阿里云文档。

方案三：网络层防火墙规则（通用方案）

对于 Nacos 2.0.3 等老版本，可通过防火墙规则实现。思科设备扩展 ACL 配置示例：ip access-list extended WEB_ACCESS，permit tcp 192.168.1.0 0.0.0.255 any eq 80。标准 ACL 使用 1-99 编号，扩展 ACL 使用 100-199 编号。此方案来自 2026 年 4 月 29 日 ACL 配置实战指南。

生产环境如何配置 Nacos 访问控制列表 ACL 限制 IP 访问

注意事项

1. 版本检查：若 Nacos 部署版本低于 1.4.1，需先升级到新版本再开启鉴权，这是 2024 年 4 月 28 日安全最佳实践中的预检查要求。

2. 公网白名单风险：若公网白名单为空，任何地址都可访问实例，存在很高数据泄露风险。配置 Nacos 实例白名单时，若未开启 Nacos 引擎鉴权可能导致关键数据泄露，建议清空配置前开启鉴权。

3. 配置生效验证：配置完成后需从白名单内外 IP 地址尝试访问 Nacos，确保只有白名单内 IP 能成功建立连接。2024 年 9 月 26 日官方解答强调测试与验证步骤不可省略。

4. 备份恢复计划：实施任何网络规则更改前，需有适当的备份和恢复计划。生产环境操作建议在业务低峰期进行，做好检查和灰度，避免影响业务运行。

生产环境如何配置 Nacos 访问控制列表 ACL 限制 IP 访问

5. 隐式拒绝规则：所有 ACL 末尾都有隐式的"deny any"，测试新 ACL 时可在末尾添加临时 permit any 记录日志，验证后再移除，避免意外锁定自己。这是 2026 年 4 月 29 日 ACL 配置中的安全默认原则。

参考来源

来源：阿里云官方文档 - 设置白名单（公网/内网白名单配置，2026 年 4 月 23 日收录）

来源：Nacos 社区问答 - Nacos 2.1.x 版本 ACL 配置实战（2023 年 7 月 28 日发布）

来源：阿里云安全最佳实践 - Nacos 安全使用最佳实践访问控制实践（2024 年 4 月 28 日）

来源：网络工程师社区 - ACL 配置实战指南思科华为华三命令详解（2026 年 4 月 29 日）