nginx地理位置限制：geo模块实现区域访问控制

引言：解决区域访问控制的痛点

你是否还在为如何有效限制特定地区用户访问服务器资源而烦恼？是否需要一个轻量级解决方案来管理不同区域的访问权限？本文将详细介绍如何使用Nginx的geo模块实现高效的区域访问控制，帮助你轻松解决这些问题。

读完本文后，你将能够：

• 理解Nginx geo模块的工作原理
• 掌握基本和高级的IP地址映射配置方法
• 实现基于地理位置的访问控制策略
• 优化geo模块配置以提高性能
• 解决常见的配置问题

1. Nginx geo模块概述

1.1 什么是geo模块

Nginx geo模块（ngx_stream_geo_module）是一个用于根据客户端IP地址创建变量的模块。它允许将IP地址映射到预定义的值，从而实现基于地理位置的访问控制、内容定制等功能。

1.2 工作原理

geo模块通过创建一个IP地址到值的映射表来工作。当请求到达时，模块会根据客户端IP地址查找映射表，并为匹配的条目设置相应的变量值。这个变量随后可以在Nginx配置中用于条件判断，实现访问控制。

1.3 模块文件结构

geo模块的核心实现位于src/stream/ngx_stream_geo_module.c文件中，包含以下关键组件：

static ngx_stream_module_t  ngx_stream_geo_module_ctx = {
    NULL,                                  /* preconfiguration */
    NULL,                                  /* postconfiguration */

    NULL,                                  /* create main configuration */
    NULL,                                  /* init main configuration */

    NULL,                                  /* create server configuration */
    NULL                                   /* merge server configuration */
};

ngx_module_t  ngx_stream_geo_module = {
    NGX_MODULE_V1,
    &ngx_stream_geo_module_ctx,            /* module context */
    ngx_stream_geo_commands,               /* module directives */
    NGX_STREAM_MODULE,                     /* module type */
    NULL,                                  /* init master */
    NULL,                                  /* init module */
    NULL,                                  /* init process */
    NULL,                                  /* init thread */
    NULL,                                  /* exit thread */
    NULL,                                  /* exit process */
    NULL,                                  /* exit master */
    NGX_MODULE_V1_PADDING
};

2. 基本配置：IP地址映射

2.1 基础语法

geo模块的基本配置语法如下：

geo $variable {
    default value;
    192.168.1.0/24 value1;
    10.0.0.0/8 value2;
    ...
}

2.2 简单IP映射示例

以下是一个基本的IP地址到区域的映射配置：

http {
    # 定义IP到区域的映射
    geo $region {
        default unknown;
        192.168.1.0/24 lan;
        10.0.0.0/8 internal;
        202.102.133.0/24 beijing;
        113.108.216.0/24 guangzhou;
    }
    
    server {
        listen 80;
        server_name example.com;
        
        # 根据区域变量进行访问控制
        location / {
            if ($region = unknown) {
                return 403;
            }
            root html;
            index index.html;
        }
    }
}

2.3 变量使用

geo模块创建的变量可以在Nginx配置的其他部分使用，例如：

• 访问控制
• 日志记录
• 内容定制
• 重定向

# 记录区域信息到日志
log_format main '$remote_addr [$time_local] "$request" '
                '$status $region "$http_user_agent"';

access_log logs/access.log main;

# 根据区域定制内容
location / {
    if ($region = beijing) {
        rewrite ^ /beijing$request_uri last;
    }
    if ($region = guangzhou) {
        rewrite ^ /guangzhou$request_uri last;
    }
    root html;
    index index.html;
}

3. 高级配置：网络与范围

3.1 CIDR表示法

CIDR（无类别域间路由）表示法允许你指定IP地址范围：

geo $region {
    default unknown;
    192.168.1.0/24 lan;      # 24位掩码，256个地址
    10.0.0.0/8 internal;     # 8位掩码，1600万个地址
    2001:0db8::/32 ipv6;     # IPv6地址范围
}

3.2 范围表示法

使用ranges指令可以定义连续的IP地址范围：

geo $region {
    ranges;
    default unknown;
    192.168.1.1-192.168.1.100 lan;
    192.168.1.101-192.168.1.200 dmz;
    192.168.1.201-192.168.1.254 special;
}

3.3 排除IP地址

使用delete指令可以从之前定义的范围中排除特定IP：

geo $region {
    ranges;
    default unknown;
    10.0.0.0-10.255.255.255 internal;
    delete 10.1.1.0-10.1.1.255;  # 排除这个范围
    10.1.1.100-10.1.1.150 dmz;   # 重新定义排除范围内的部分地址
}

4. 实用示例：区域访问控制

4.1 基于国家/地区的访问控制

以下是一个基于国家/地区的访问控制示例：

geo $allowed_country {
    default 0;
    # 特定区域IP段示例
    1.0.1.0/24 1;
    1.0.2.0/23 1;
    1.0.8.0/21 1;
    # ... 其他区域IP段 ...
    
    # 特定区域IP段示例
    1.1.1.0/24 1;
    2.2.2.0/24 1;
    # ... 其他区域IP段 ...
}

server {
    listen 80;
    server_name example.com;
    
    location / {
        if ($allowed_country = 0) {
            return 403 "Access denied: This content is not available in your region.";
        }
        root html;
        index index.html;
    }
}

4.2 基于IP的限速

结合limit_req模块实现基于区域的限速：

geo $limit_rate {
    default 100k;  # 默认限制100KB/s
    192.168.1.0/24 1000k;  # 局域网1MB/s
    10.0.0.0/8 500k;       # 内部网络500KB/s
}

limit_req_zone $binary_remote_addr zone=zone1:10m rate=10r/s;

server {
    listen 80;
    
    location /downloads {
        limit_req zone=zone1 burst=20 nodelay;
        limit_rate $limit_rate;
        alias /var/www/downloads;
    }
}

4.3 白名单与黑名单

结合allow和deny指令实现IP过滤：

geo $ip_whitelist {
    default 0;
    192.168.1.0/24 1;
    10.0.0.0/8 1;
    127.0.0.1 1;
}

geo $ip_blacklist {
    default 0;
    203.0.113.0/24 1;
    198.51.100.0/24 1;
}

server {
    listen 80;
    
    location /admin {
        # 先检查黑名单
        if ($ip_blacklist = 1) {
            return 403;
        }
        # 再检查白名单
        if ($ip_whitelist = 0) {
            return 403;
        }
        # 白名单内的IP允许访问
        root html/admin;
        index index.html;
    }
}

5. 性能优化

5.1 二进制地址库

对于大量IP映射，使用二进制地址库可以提高性能：

geo $region {
    ranges;
    include /etc/nginx/geo/regions.bin;  # 二进制格式的地址库
}

Nginx可以通过ngx_stream_geo_create_binary_base函数创建二进制地址库：

static void ngx_stream_geo_create_binary_base(ngx_stream_geo_conf_ctx_t *ctx) {
    // 创建二进制地址库的实现
}

5.2 地址库加载机制

geo模块使用高效的地址查找算法，包括：

• 基数树（Radix Tree）用于CIDR查找
• 范围查找算法用于IP范围匹配

// IPv4地址查找
vv = (ngx_stream_variable_value_t *)
          ngx_radix32tree_find(ctx->u.trees.tree, inaddr);

// IPv6地址查找
vv = (ngx_stream_variable_value_t *)
          ngx_radix128tree_find(ctx->u.trees.tree6, p);

5.3 优化建议

1. 合并规则：将连续的IP范围合并为更广泛的CIDR表示
2. 使用二进制库：对于超过10万条目的大型IP库，使用二进制格式
3. 避免复杂正则：geo模块比if指令和正则表达式更高效
4. 合理组织顺序：将频繁访问的IP段放在配置前面
5. 监控性能：通过Nginx状态模块监控geo模块性能

6. 常见问题与解决方案

6.1 配置不生效

问题：geo配置似乎没有生效，所有请求都被归类为default。

解决方案：

1. 检查Nginx是否正确编译了geo模块
2. 确认配置文件路径和语法正确性
3. 检查IP地址匹配顺序，确保更具体的规则在前面
4. 查看错误日志寻找线索

# 验证Nginx配置
nginx -t

# 查看Nginx编译模块
nginx -V

6.2 IPv6支持

问题：geo模块不识别IPv6地址。

解决方案：

1. 确保Nginx编译时启用了IPv6支持
2. 使用正确的IPv6 CIDR表示法
3. 为IPv6地址创建单独的映射规则

geo $ipv6_region {
    default unknown;
    2001:0db8::/32 ipv6_test;
    2001:4860:4860::8888/128 google_dns;
}

6.3 大型IP库管理

问题：IP地址库过大，导致Nginx启动缓慢或内存占用过高。

解决方案：

1. 使用include指令拆分配置
2. 转换为二进制地址库
3. 考虑使用ngx_http_geoip_module模块结合MaxMind GeoIP数据库

# 使用include拆分大型配置
geo $region {
    include /etc/nginx/geo/base.conf;
    include /etc/nginx/geo/cn.conf;
    include /etc/nginx/geo/us.conf;
}

7. 扩展应用：结合其他模块

7.1 与GeoIP模块集成

Nginx提供了另一个相关模块ngx_http_geoip_module，可以结合MaxMind的GeoIP数据库使用：

http {
    # 加载GeoIP数据库
    geoip_country /etc/nginx/geoip/GeoIP.dat;
    geoip_city /etc/nginx/geoip/GeoLiteCity.dat;
    
    # 使用GeoIP变量
    location / {
        if ($geoip_country_code !~ ^(CN|US)$) {
            return 403;
        }
        
        add_header X-Country $geoip_country_name;
        add_header X-City $geoip_city;
        
        root html;
        index index.html;
    }
}

7.2 与地图模块结合

结合ngx_http_map_module实现更复杂的条件逻辑：

geo $region {
    default unknown;
    192.168.1.0/24 lan;
    10.0.0.0/8 internal;
    202.102.133.0/24 beijing;
}

map $region $access_level {
    unknown 0;
    lan 10;
    internal 5;
    beijing 3;
    default 0;
}

server {
    location /api {
        if ($access_level < 3) {
            return 403;
        }
        proxy_pass http://api_server;
    }
    
    location /admin {
        if ($access_level < 10) {
            return 403;
        }
        proxy_pass http://admin_server;
    }
}

8. 总结与展望

8.1 关键知识点回顾

• geo模块通过创建IP到值的映射实现区域访问控制
• 支持多种IP表示法：单个IP、CIDR、范围
• 可用于访问控制、内容定制、流量管理等场景
• 性能优化可通过二进制地址库和规则组织实现
• 可与其他模块结合实现复杂功能

8.2 最佳实践建议

1. 最小权限原则：只授予必要的访问权限
2. 分层防御：结合多种访问控制机制
3. 定期更新：保持IP地址库最新
4. 监控与审计：记录区域访问情况，定期审计
5. 性能测试：在生产环境部署前测试geo配置对性能的影响

8.3 未来发展方向

随着互联网的发展，地理位置访问控制将面临新的挑战和机遇：

• IPv6的普及将需要更复杂的地址管理
• 移动互联网和动态IP需要更灵活的策略
• 人工智能和机器学习可用于预测和识别异常访问模式
• 边缘计算环境下的分布式访问控制

通过合理配置和优化，Nginx的geo模块可以成为保护服务器资源、优化用户体验的强大工具。无论是小型网站还是大型企业应用，都可以从中受益。

8.4 进一步学习资源

1. Nginx官方文档： nginx.org/en/docs/
2. Nginx模块开发指南： nginx.org/en/docs/dev/
3. CIDR表示法详解： en.wikipedia 组织网/wiki/Classless_Inter-Domain_Routing
4. IP地址管理最佳实践： www.arin 网络网/resources/manage/ipv4/
5. MaxMind GeoIP数据库： www.maxmind. 商业网/