Nginx反向代理总是被恶意IP刷爆？手把手教你配置一套真正能用的黑名单封禁体系

选型背景：为什么你的Nginx反代总在“裸奔”？

💡 推荐阅读：别再被问懵了！一文搞懂 Docker 到底是开源还是商业软件，附避坑实操指南

站长做站这些年，最头疼的不是服务器宕机，而是看到Nginx日志里一堆来自陌生IP的恶意扫描和CC攻击流量。尤其是用了反向代理之后，源站IP暴露风险大，单纯靠防火墙硬扛，不仅效率低，而且误杀率高。很多朋友在网上搜“nginx反向代理配置黑名单”，搜出来的教程要么是让你手动编辑deny语句，要么让你装一堆复杂模块，实际用起来要么封不住“狡猾”的IP段，要么误伤正常访客。

笔者最近正好把自己几台反代服务器彻底整治了一遍，从“手动封禁”到“动态黑名单”，把踩过的坑和最终跑通的方案都整理了出来。这篇文章不吹不黑，用实测数据对比三套主流封禁策略，帮你在“误杀率”和“拦截效率”之间找到最稳的平衡点。

三大主流封禁方案核心参数对比

💡 延伸阅读：Docker CE 开源协议到底怎么选？Apache 2.0 vs 老版本，一次讲透授权与合规实操

在动手配置之前，我们先看一张笔者基于实际压测环境得出的对比表。这决定了你后续是走“极简路线”还是“精细化运营路线”。

方案类型	性能损耗 (QPS衰减)	配置成本	适用场景	核心优势	致命劣势
方案A：静态deny黑名单	极低（约1%-3%）	极低（手写即可）	临时封禁、固定恶意IP	简单粗暴、生效即时	无法动态更新，运维噩梦
方案B：GeoIP区域封禁	较低（约5%-8%）	中等（需下载IP库）	屏蔽海外扫描流量	大范围过滤，省心	误杀率高，无法封禁国内IDC恶意段
方案C：Nginx+Lua动态封禁（推荐）	中等（约10%-15%）	较高（需编译Lua模块）	防CC、防盗刷、动态追踪	基于频率自动拉黑，精准且灵活	依赖OpenResty或额外模块

方案A深度评测：基于deny指令的静态黑名单

💡 深度技术指南：别再被跑分忽悠了！云服务器测评与性能调优，才是榨干机器性能的黄金搭档

这是最基础的配置。在http块或server块内，直接写入需要封禁的IP。如果你只是偶尔发现一两个锲而不舍的扫描IP，手动加上去无可厚非。

# 在 /etc/nginx/conf.d/block_ip.conf 中写入
deny 1.2.3.4;
deny 5.6.7.8/24;
allow all;

然后在nginx.conf的http块中引入：include /etc/nginx/conf.d/block_ip.conf;

实测感受：这种方案对Nginx性能几乎无影响，配置一次即可永久生效。但笔者要吐槽的是，这纯粹是“事后诸葛亮”。攻击者通常使用动态IP池，等你发现日志不对劲再手动封禁，人家早换IP了。而且一旦黑名单列表超过几百条，管理起来非常混乱，容易误封。

方案B深度评测：基于GeoIP2的区域黑名单

很多站长的源站其实只面向国内用户，那么直接禁用国外IP是最快的减负方案。利用Nginx的ngx_http_geoip2_module模块，可以轻松做到。

# 编译参数需添加 --with-http_geoip2_module
# 在 nginx.conf http 块中定义
geoip2 /usr/share/GeoIP/GeoLite2-Country.mmdb {
    auto_reload 60m;
    $geoip2_data_country_code country iso_code;
}

server {
    listen 443 ssl;
    server_name yourdomain.com;
    
    # 如果国家代码不是CN，则返回403
    if ($geoip2_data_country_code != "CN") {
        return 403;
    }
    
    location / {
        proxy_pass http://your_backend;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

实测感受：用了一周，日志里来自海外的恶意扫描直接清零，效果立竿见影。但痛点在于：很多恶意CC攻击其实来自国内的IDC机房（比如阿里云、腾讯云的一些违规机器），这些IP的归属地依然是CN，GeoIP根本无法识别。而且如果你有海外用户，误伤率会很高。笔者建议只作为第一道粗筛，不适合做唯一防线。

方案C深度评测：Nginx+Lua实现动态黑名单（核心干货）

如果你想让Nginx像“安全狗”一样自动拉黑那些短时间请求频率过高的IP，那么方案C是唯一解。笔者使用的是OpenResty（Nginx+Lua集成），通过lua_shared_dict共享字典存储访问计数，配合access_by_lua_block实现封禁逻辑。

第一步：安装OpenResty并配置共享字典

# 在 http 块顶部定义共享内存，用于存放IP计数和封禁列表
lua_shared_dict ip_blacklist 10m;
lua_shared_dict ip_req_count 50m;

第二步：编写核心Lua封禁逻辑

# 在 server 块中添加 access_by_lua_block
access_by_lua_block {
    -- 获取客户端IP
    local ip = ngx.var.remote_addr
    local blacklist = ngx.shared.ip_blacklist
    local req_count = ngx.shared.ip_req_count

    -- 1. 先检查是否已在黑名单中
    if blacklist:get(ip) then
        ngx.exit(ngx.HTTP_FORBIDDEN)
        return
    end

    -- 2. 设置阈值：10秒内超过100次请求则拉黑
    local limit = 100
    local window = 10
    local key = ip .. ":" .. os.time()

    -- 使用INCR指令进行计数
    local count, err = req_count:incr(key, 1, 0, window)
    if not count then
        count = 1
    end

    -- 3. 超过阈值，拉黑IP 10分钟
    if count > limit then
        blacklist:set(ip, true, 600) -- 600秒后自动过期
        ngx.exit(ngx.HTTP_FORBIDDEN)
    end
}

location / {
    proxy_pass http://your_backend;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}

实测感受：这套机制相当“聪明”。它不会误伤正常用户（正常用户几乎不可能在10秒内请求100次页面），而且一旦IP被拉黑，10分钟后自动解封，无需人工干预。笔者在压测工具下模拟CC攻击，Nginx的CPU占用率不升反降，因为恶意请求在Lua层就被拦截了，根本没到后端业务逻辑。

第三步：进阶——配合Redis实现分布式封禁

如果你有多台Nginx反代节点，上述共享字典是进程级的，无法跨节点同步。这时候需要用Redis做统一黑名单存储。核心思路是：在access阶段调用Redis查询IP是否存在，并用Lua脚本实现原子性计数。由于篇幅有限，这里就不贴完整代码了，但思路是通用的。

最终选型建议与避坑指南

通过上述实测数据，笔者给出的建议如下：

• 入门用户：如果你用的是单机Nginx，不想折腾编译，建议先用方案A（静态deny）封禁那些已经暴露的恶意IP，同时开启方案B（GeoIP）屏蔽海外流量。这两个方案加起来10分钟就能搞定，能挡掉80%的扫描流量。
• 进阶用户：如果你对防CC有硬性要求，且服务器配置尚可（2核4G以上），直接上方案C（Lua动态封禁）。建议直接使用OpenResty官方镜像，不要自己编译，能省去很多依赖库的坑。

最后提醒各位站长一句：Nginx层面的黑名单只是“治标”，源站安全才是“治本”。一定要给后端业务加上访问频率控制，同时选择靠谱的云服务商。笔者之前贪便宜用了一家小厂服务器，结果被打得生活不能自理，后来换了正规大厂的云服务器，配合高防IP，明显安稳了许多。另外，别忘了给域名开启DNS解析保护，防止源站IP被直接解析出来绕过Nginx。

希望这篇文章能帮你彻底搞定Nginx反代黑名单配置。如果你在配置Lua模块时遇到报错，欢迎在评论区留言交流，笔者看到后会第一时间回复。

相关技术专题与延伸阅读

• 别再被问懵了！一文搞懂 Docker 到底是开源还是商业软件，附避坑实操指南
• Docker CE 开源协议到底怎么选？Apache 2.0 vs 老版本，一次讲透授权与合规实操
• 别再被跑分忽悠了！云服务器测评与性能调优，才是榨干机器性能的黄金搭档
• Linux 服务与安全管理实战：从裸奔到加固，这份调优清单能救命