设置服务器访问IP是保障网络安全、防止未授权入侵的核心手段，要实现精准的访问控制，必须遵循分层防御的原则，即通过云服务商安全组、操作系统级防火墙以及Web应用层配置三个维度的协同工作，构建立体的IP过滤体系，核心上文归纳在于：优先配置云安全组阻断非目标流量，其次利用系统防火墙（如iptables或UFW）进行端口级管控，最后在Nginx或Apache等Web服务中针对特定目录或域名进行精细化访问限制。
云安全组层面的访问控制
对于部署在阿里云、腾讯云或AWS等云平台上的服务器，安全组是第一道也是最有效的流量过滤器，它作用于虚拟化层,能在数据包到达服务器操作系统之前将其丢弃。
配置安全组时，应采用最小权限原则，将入站规则的默认策略设置为拒绝所有，针对管理端口（如SSH的22端口、RDP的3389端口），必须添加仅允许特定公网IP访问的规则，仅允许公司办公网络的出口IP或管理员的固定家庭IP登录，严禁将0.0.0.0/0（全网段）应用于高敏感端口，对于Web服务端口（如80、443），通常设置为允许0.0.0.0/0以供公众访问，但如果网站是内部系统，同样需要限制为特定的内网网段或VPN出口IP。安全组的配置生效速度快，且不消耗服务器自身的CPU资源，是首选的访问控制层。
Linux系统级防火墙配置
当流量通过安全组到达操作系统后，需要配置系统防火墙进行第二层拦截，在Linux服务器中，常用的工具包括iptables和UFW（Uncomplicated Firewall）。
使用iptables配置时，需要理解规则的匹配顺序。iptables是自上而下匹配的，一旦匹配成功即不再执行后续规则，配置策略通常是：先允许特定的信任IP，再拒绝其他所有IP，若要只允许192.168.1.100访问SSH端口，命令逻辑应为：先插入一条允许规则，然后设置默认策略为DROP，或者在规则链末尾添加一条拒绝所有规则，对于CentOS 7及更高版本，建议使用firewalld管理工具，通过rich-rules（富规则）实现更复杂的IP限制。
对于Ubuntu用户，UFW提供了更友好的语法，配置时，先执行ufw default deny incoming拒绝所有入站连接，然后执行ufw allow from 192.168.1.100 to any port 22开放特定IP的访问权限。系统防火墙的优势在于它能对服务器本地的所有端口流量进行统一管控，包括非Web服务的自定义端口。
Windows服务器防火墙策略
在Windows Server环境中，高级安全Windows防火墙提供了入站和出站规则的详细配置，设置访问IP时，需要新建“入站规则”，选择规则类型为“自定义”，在作用域设置中，可以通过“远程IP地址”选项卡，选择“下列IP地址”,然后添加允许的特定IP或IP段。
关键点在于协议和端口的筛选，如果是限制远程桌面，应选择TCP协议，特定本地端口为3389，如果是限制SQL Server访问，则端口为1433，通过这种方式，即使攻击者知晓了服务器密码，若其IP不在白名单内，也无法建立网络连接，Windows防火墙还支持IPSec加密连接,这为跨地域的办公网络访问提供了更高的安全性。
Web服务器应用层配置
在通过了网络和系统层面的过滤后，针对Web应用（如网站后台、API接口）的访问控制，需要在Nginx或Apache配置文件中进行设置,这一层可以实现基于域名或URL路径的精细化控制。
在Nginx中，利用allow和deny指令非常高效，配置逻辑遵循“从上到下”匹配，若要限制后台访问，可以在location /admin块中，先写allow 192.168.1.0/24;，再写deny all;，这样，只有内网用户能访问后台，其他用户访问将直接返回403 Forbidden错误。这种配置方式非常灵活，不会影响网站前台页面的正常访问，仅对敏感路径生效。
在Apache服务器中，通常使用Require指令（Apache 2.4及以上版本），在Directory或Location容器内，使用Require ip 192.168.1.0/24来允许特定网段，或者使用Require all denied配合Require ip来实现白名单机制。Web层的配置不仅能限制IP，还能结合IP限制实现简单的防爬虫策略，例如禁止特定恶意IP段的抓取行为。
SSH服务与专业安全建议
除了上述网络层面的限制，SSH服务的配置至关重要，建议编辑/etc/ssh/sshd_config文件，设置PermitRootLogin no禁止root直接登录，并使用AllowUsers指令指定允许登录的用户名及其来源IP，例如AllowUsers admin@192.168.1.100，这样即使SSH端口被扫描,只有特定用户从特定IP才能尝试认证。
专业的安全解决方案建议采用“白名单机制”而非“黑名单机制”，黑名单（拒绝特定IP，允许其他）在防御未知的攻击时效果有限，因为攻击者可以轻易更换IP，而白名单（允许特定IP，拒绝其他）虽然配置初期较为繁琐，需要列出所有合法访问源，但其安全性是指数级提升的，对于必须对外开放的Web服务，建议配合WAF（Web应用防火墙）和Fail2Ban等工具，动态识别并封禁恶意IP,实现静态白名单与动态防御的结合。
相关问答
问题1：配置了服务器防火墙允许IP访问后，为什么仍然无法连接？
解答： 这通常是因为多层防御策略冲突导致的，请检查排查顺序：首先确认云服务商安全组是否放行了该IP和端口；其次检查服务器内部是否开启了系统防火墙（如iptables、firewalld或Windows防火墙）且规则优先级正确；最后检查Web服务配置文件（如Nginx）中是否有冲突的deny规则，还需确认服务器内部的服务（如SSH或Nginx服务）是否处于正常运行状态，以及SELinux（在CentOS上）是否拦截了连接。
问题2：如何设置只允许国内IP访问服务器？
解答： 直接在防火墙中手动添加所有国内IP段是不现实的。专业的解决方案是使用GeoIP2数据库配合Nginx或iptables脚本，在Nginx中，可以安装ngx_http_geoip2_module模块，下载GeoIP2的Country数据库，然后在配置文件中根据国家代码（如CN）进行判断，非CN的IP直接return 403，在iptables中，可以使用ipset工具配合脚本，自动从权威机构下载国内IP段列表并导入到ipset集合中,然后设置防火墙规则仅允许该集合内的IP访问。
如果您在配置服务器访问IP的过程中遇到具体的报错或需要针对特定场景（如Docker容器环境）的配置建议，欢迎在评论区留言,我们将为您提供进一步的技术支持。
