网关安全策略配置IP过滤实战指南

为什么需要在网关层做IP过滤

很多开发团队上线接口后没多久就发现服务器压力陡增，查日志才发现是被一些恶意IP频繁刷接口。这时候才想起要加访问控制。其实在网关层面配置IP过滤是最直接有效的防护手段之一。比如你做一个后台管理系统，只允许公司内网访问，或者某个API只给合作方调用，这些都可以通过IP白名单来实现。

网关作为所有请求的入口，天然适合承担安全策略的执行角色。把IP过滤规则放在这一层，既能减轻后端服务负担，又能快速阻断非法请求。

常见网关中的IP过滤实现方式

以Spring Cloud Gateway为例，可以通过自定义GlobalFilter来实现IP黑白名单控制。下面是一个简单的白名单配置示例：

@Component
public class IpFilter implements GlobalFilter, Ordered {

    private static final List<String> ALLOWED_IPS = Arrays.asList("192.168.1.100", "10.0.0.5");

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
        String clientIp = exchange.getRequest().getRemoteAddress().getAddress().getHostAddress();
        
        if (!ALLOWED_IPS.contains(clientIp)) {
            ServerHttpResponse response = exchange.getResponse();
            response.setStatusCode(HttpStatus.FORBIDDEN);
            return response.setComplete();
        }
        
        return chain.filter(exchange);
    }

    @Override
    public int getOrder() {
        return -1;
    }
}

这段代码会在请求进入时检查客户端IP是否在允许列表中，如果不是，直接返回403拒绝访问。实际项目中可以把ALLOWED_IPS从配置文件或数据库加载，方便动态调整。

Nginx作为网关时的IP控制

如果你用Nginx做反向代理网关，配置起来更简单。直接在server块里加上allow和deny指令即可：

location /api/ {
    allow 192.168.1.0/24;
    deny all;
    proxy_pass http://backend;
}

这样就只允许192.168.1.0这个网段的请求访问/api路径，其他全部拦截。适用于内部系统对外暴露时做基础防护。

结合真实场景的配置建议

有个朋友负责一个数据导出接口，原本只给内部运营使用，后来发现外网IP也在频繁调用，查了才知道链接被误发到了公开群组。他们临时加了个IP白名单，把办公网段加进去，问题立马解决。这种情况下，哪怕后端做了登录验证，前置的IP过滤依然能起到第一道防线的作用。

不过也要注意别一刀切。比如有些用户用的是动态公网IP，可能会导致误伤。这时候可以考虑结合账号认证和IP限制双重机制，灵活应对不同情况。

IP过滤虽然简单，但在实际应用中非常实用。特别是在微服务架构下，统一在网关做安全策略，能避免每个服务重复开发相同功能。合理利用这个机制，能让系统更安全也更稳定。