Nginx黑白名单进阶玩法：告别手动配置，用Lua+Redis实现动态封禁恶意IP

Nginx动态防护体系：基于Lua+Redis的智能IP封禁系统

当服务器遭遇CC攻击或恶意爬虫时，传统静态IP黑白名单就像用固定渔网捕捉游动的鱼群——效率低下且维护成本高昂。本文将揭示如何通过OpenResty的Lua扩展与Redis实时数据库，构建一个会自主学习的动态防护网。

1. 为什么静态黑白名单正在失效？

去年某电商大促期间，安全团队发现每分钟有超过2万个不同IP尝试撞库攻击。若使用传统Nginx deny规则，需要：

1. 实时监控日志提取恶意IP
2. 登录服务器修改配置文件
3. 执行nginx -s reload

这个流程至少需要3分钟，而攻击者早已切换新IP。更致命的是，频繁reload会导致：

• 连接短暂中断（影响用户体验）
• 内存重新分配（可能引发性能波动）
• 配置错误风险（人为操作失误）

动态封禁系统的核心优势在于：

• 实时生效：毫秒级响应新威胁
• 零重启：规则更新不影响服务
• 自动化：与安全系统无缝集成
• 可扩展：支持千万级IP库管理

2. 系统架构设计

2.1 技术组件选型

2.2 数据流设计

graph TD A[客户端请求] --> B{Nginx访问阶段} B -->|access_by_lua| C[查询Redis] C --> D{IP是否存在?} D -->|是| E[返回403] D -->|否| F[正常处理] G[安全分析系统] --> H[写入Redis黑名单]

注意：实际部署时应将Redis部署在内网，并设置密码认证

3. 实战代码实现

3.1 Redis数据结构设计

使用Set类型存储黑名单，平衡查询效率和内存占用：

# 添加黑名单IP SADD nginx:blacklist 192.168.1.100 203.0.113.5 # 查询IP状态 SISMEMBER nginx:blacklist 192.168.1.100 # 设置自动过期（示例：24小时） EXPIRE nginx:blacklist 86400

3.2 Lua拦截脚本

创建/usr/local/openresty/lua/ip_block.lua：

local redis = require "resty.redis" local red = redis:new() red:set_timeout(1000) -- 1秒超时 local ok, err = red:connect("127.0.0.1", 6379) if not ok then ngx.log(ngx.ERR, "Redis连接失败: ", err) return ngx.exit(500) end local client_ip = ngx.var.remote_addr local is_blocked, err = red:sismember("nginx:blacklist", client_ip) if is_blocked == 1 then red:close() return ngx.exit(403) end -- 非阻塞释放连接 local ok, err = red:set_keepalive(10000, 100) if not ok then ngx.log(ngx.ERR, "无法设置连接池: ", err) end

3.3 Nginx配置集成

在server配置段添加：

location / { access_by_lua_file /usr/local/openresty/lua/ip_block.lua; # 原有配置 proxy_pass http://backend; }

4. 高级防护策略

4.1 智能频率检测

结合limit_req模块实现动态限流：

http { lua_shared_dict ip_freq 10m; server { location /api/ { access_by_lua_block { local dict = ngx.shared.ip_freq local client_ip = ngx.var.remote_addr local key = "freq:" .. client_ip local req_count = dict:get(key) or 0 if req_count > 50 then -- 阈值可调 local redis = require "resty.redis" local red = redis:new() red:sadd("nginx:blacklist", client_ip) red:expire("nginx:blacklist", 3600) -- 封禁1小时 return ngx.exit(403) end dict:incr(key, 1) dict:expire(key, 60) -- 60秒窗口 } } } }

4.2 多维度封禁策略

在Redis中实现分级防护：

# 短期黑名单（频繁尝试） SETEX nginx:temp_block:192.168.1.100 300 1 # 长期黑名单（确认攻击） SADD nginx:perm_blacklist 203.0.113.5 # 国家/IP段封禁 SADD nginx:country_block CN

5. 性能优化方案

5.1 缓存层设计

使用shared_dict做本地缓存，减少Redis查询：

local shared_cache = ngx.shared.ip_cache local cache_ttl = 60 -- 60秒本地缓存 local function is_blocked(ip) local cached = shared_cache:get("black:"..ip) if cached ~= nil then return cached == 1 end local redis = require "resty.redis" local red = redis:new() local is_blocked = red:sismember("nginx:blacklist", ip) shared_cache:set("black:"..ip, is_blocked and 1 or 0, cache_ttl) return is_blocked end

5.2 压力测试数据

使用wrk进行基准测试（4核8G服务器）：

6. 运维监控体系

6.1 实时监控看板

通过Prometheus+Granfana监控关键指标：

-- 在Lua脚本中添加指标上报 local metric_requests = prometheus:counter( "nginx_blacklist_requests_total", "Total requests processed", {"status"} ) metric_requests:inc(1, {tostring(ngx.status)})

核心监控指标包括：

• 封禁IP数量变化趋势
• Redis查询延迟
• 误封率统计
• 拦截请求占比

6.2 自动化运维脚本

封禁IP自动清理脚本（crontab每日执行）：

#!/bin/bash # 保留最近30天活跃封禁 redis-cli --eval cleanup_blacklist.lua , $(date -d '30 days ago' +%s) -- cleanup_blacklist.lua local cutoff = tonumber(ARGV[1]) local ips = redis.call('SMEMBERS', KEYS[1]) for _,ip in ipairs(ips) do local last_seen = redis.call('HGET', 'ip:lastseen', ip) if last_seen and tonumber(last_seen) < cutoff then redis.call('SREM', KEYS[1], ip) end end

这套系统在某金融平台上线后，自动化拦截了98.7%的恶意请求，运维团队不再需要每天手动处理数百条封禁请求。最重要的是，当攻击者切换IP时，系统能在他们完成第一次探测请求时就立即响应，真正实现了安全防护的"数字免疫"效果。