nginx反向代理指定ip

nginx反向代理指定ip

需要将特定来源 IP 的请求转发到不同的后端服务器？或者仅允许指定 IP 访问后端服务？Nginx 提供了灵活的反向代理控制能力，本文介绍如何通过配置实现“指定 IP 的反向代理”，包含常见场景与配置示例。

场景一：按客户端 IP 分流到不同后端

当业务需要区分内网用户和公网用户，或将某个 IP 段的请求导向专用服务器时，可使用 `if` 指令配合 `$remote_addr` 变量实现。 nginx server { listen 80; server_name example.com;

默认后端

set $backend "http://10.0.0.10";

如果客户端 IP 为 192.168.1.100，则切换到专用后端

if ($remote_addr = "192.168.1.100") { set $backend "http://10.0.0.20"; }

如果客户端属于 203.0.113.0/24 网段，则切换到另一个后端

if ($remote_addr ~ "^203\.0\.113\.") { set $backend "http://10.0.0.30"; } location / { proxy_pass $backend; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } } 注意：`if` 在 `nginx` 中使用需谨慎，官方称之为“rewrite 模块的一部分，仅能做 rewrite 和 set 操作”。此处仅用 `set` 修改变量，不涉及其他指令，是安全用法。

场景二：仅允许指定 IP 访问反向代理

若希望反向代理只对某些来源开放，可使用 `allow` 和 `deny` 指令： nginx server { listen 80; server_name api.example.com; location / {

仅允许内网或特定 IP 访问

allow 192.168.1.0/24; allow 203.0.113.5; deny all; proxy_pass http://backend_server; proxy_set_header Host $host; } } 此配置会先匹配 `allow`，若来源 IP 不在允许列表，则执行 `deny all` 返回 403。适用于内部管理后台或 API 网关的接入控制。

场景三：代理时替换请求中的指定 IP（重写 Host 或转发地址）

有时需要将请求代理到固定 IP，但保留原始 Host 或修改转发头。例如指定代理到 `192.168.1.10:8080`，同时自定义转发头部： nginx location /api/ { proxy_pass http://192.168.1.10:8080; proxy_set_header Host $proxy_host; # 使用后端主机名 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Real-IP $remote_addr; } 若希望所有请求都只代理到某一个特定 IP（如内网机房出口 IP），可直接在 `proxy_pass` 中写明 IP。但若需在不同 location 使用相同 IP，建议用 `upstream` 定义： nginx upstream backend_group { server 192.168.1.10:8080 max_fails=3 fail_timeout=10s; server 192.168.1.11:8080 backup; # 备用 } server { listen 80; location / { proxy_pass http://backend_group; } }

场景四：按来源 IP 禁用访问（黑名单）

反向代理指定 IP 的另一种含义是“对指定 IP 不代理”，直接拒绝。可维护一个黑名单文件： nginx

/etc/nginx/blocked_ips.conf

deny 203.0.113.7; deny 198.51.100.0/24; 在主配置中引用： nginx server { listen 80; include /etc/nginx/blocked_ips.conf; # 黑名单优先 location / { allow all; proxy_pass http://backend; } } `deny` 会优先于后续的 `allow all` 生效。若想暂封某个 IP，推荐使用防火墙（如 `iptables`）而非仅依赖 Nginx，因为直接在 Nginx 层拒绝仍会占用连接资源。

验证与维护

修改配置文件后，务必执行以下命令验证语法： bash nginx -t 确认通过后重载配置： bash nginx -s reload 使用不同来源 IP 测试，可用 `curl` 模拟： bash curl -H "X-Forwarded-For: 203.0.113.9" http://your-server.com -I 注意：真实客户端 IP 若经过多层代理，需准确配置 `set_real_ip_from` 与 `real_ip_header`，否则 `$remote_addr` 取的可能是上一层代理的 IP。

注意事项

• `allow/deny` 按顺序匹配，请将更精确的网段或单独 IP 放在前面。
• 若使用 `if` 进行多个条件分流，尽量用 `map` 指令替代，代码更清晰高效：

nginx map $remote_addr $backend { default http://10.0.0.10; 192.168.1.100 http://10.0.0.20; ~^203\.0\.113\. http://10.0.0.30; } 然后在 `location` 中直接使用 `proxy_pass $backend;`，避免 `if` 带来的隐性问题。

• 当 Nginx 运行在 Docker 或 Kubernetes 等环境时，需先确认容器网络模式，否则 `$remote_addr` 可能为容器网关 IP。
• 使用国内云服务器时，请优先通过安全组或防火墙先行限制来源 IP，Nginx 层作为应用兜底，两层防护更可靠。

通过上述配置，您可以灵活实现“指定 IP”的反向代理需求。根据实际业务选择合适的方案，并始终在测试环境验证后再进入生产。如有进一步需求，随时告诉我。