云服务器Nginx deny all误拦截合法IP

# ✅ 正确：先允许特定IP，再拒绝其他所有
location /admin/ {
    allow 203.0.113.50;      # 办公网络出口IP
    allow 198.51.100.0/24;   # CDN回源网段
    deny all;                # 拒绝其余所有请求
}

# ❌ 错误：deny all在前，后续allow永远不会被执行
location /admin/ {
    deny all;                # 所有请求在此处已被拒绝
    allow 203.0.113.50;      # 这行代码永远不会生效！
}

server {
    allow 10.0.0.0/8;       # 内网全局允许
    deny all;               # 全局拒绝外网

    location /api/ {
        allow 203.0.113.50; # ⚠️ 此处覆盖了server级的所有ACL规则
        deny all;           # 10.0.0.0/8 在此location中不再有效！
    }
}

# ❌ 问题配置：允许的是用户真实IP，但Nginx看到的是CDN节点IP
location /admin/ {
    allow 203.0.113.50;  # 用户真实IP
    deny all;            # CDN节点IP不在允许列表中 → 403
}

# ✅ 正确配置：信任CDN/WAF回源IP段，从指定Header中提取真实IP
set_real_ip_from 103.21.244.0/22;    # Cloudflare回源段示例
set_real_ip_from 172.64.0.0/13;
real_ip_header CF-Connecting-IP;       # 根据实际CDN厂商调整Header名
real_ip_recursive on;

location /admin/ {
    allow 203.0.113.50;  # 现在$remote_addr已是用户真实IP
    deny all;
}

# ❌ 仅配置了IPv4白名单
allow 203.0.113.50;
deny all;
# 用户通过IPv6 (::ffff:203.0.113.50 或原生IPv6) 访问时被拦截

allow 203.0.113.50;                  # IPv4
allow ::ffff:203.0.113.50;           # IPv4-mapped IPv6
allow 2001:db8::50;                  # 原生IPv6（如适用）
deny all;

ipcalc 203.0.113.48/28
# 输出：Network: 203.0.113.48/28, HostMin: 203.0.113.49, HostMax: 203.0.113.62

location /admin/ {
    include /etc/nginx/acl/admin-deny.conf;   # 包含 deny all
    include /etc/nginx/acl/admin-allow.conf;  # 包含 allow x.x.x.x
    # deny all 先被加载，allow规则永远无法生效
}

location /debug-ip/ {
    default_type text/plain;
    return 200 "remote_addr: $remote_addr\nreal_ip: $http_x_forwarded_for\n";
}

# 提取目标location及其父级所有ACL相关指令
grep -n -B5 -A10 'allow\|deny' /etc/nginx/nginx.conf /etc/nginx/conf.d/*.conf /etc/nginx/sites-enabled/*

error_log /var/log/nginx/error.log debug;

# 从被拦截的客户端机器执行
curl -v https://example.com/admin/

# 从已放行的IP执行相同请求进行对比
# 观察HTTP响应码和Server头的差异

# /etc/nginx/snippets/admin-acl.conf
# 统一维护，避免散落在各处的规则混乱

# === 可信来源 ===
allow 203.0.113.50;              # 办公网络出口
allow 198.51.100.0/24;           # CDN回源段
allow ::ffff:203.0.113.50;       # IPv4-mapped IPv6

# === 监控与运维 ===
allow 10.0.1.100;                # Zabbix/Prometheus探针
allow 10.0.1.101;                # Ansible控制节点

# === 默认拒绝 ===
deny all;

# 在业务配置中引用
location /admin/ {
    include /etc/nginx/snippets/admin-acl.conf;
    # ... 其他业务配置
}