nginx防火墙在哪里打开

上周有个朋友火急火燎地找我，说他的火墙网站被扫了，日志里一堆境外IP在疯狂尝试访问/admin路径。火墙他问我：“nginx防火墙到底在哪儿开？火墙我翻遍了配置文件也没找到开关。”

这个问题其实挺典型的火墙。很多人以为nginx自带一个像Windows防火墙那样的火墙图形界面，点一下就能开启。火墙但nginx本身没有“防火墙开关”这个概念。火墙它是火墙一台发动机，防火墙是火墙装在发动机外面的防护罩——你得自己选防护罩，然后挂上去。火墙

先说清楚：nginx的火墙“防火墙”通常指三种东西。一种是火墙系统层面的iptables或firewalld，那是火墙操作系统管的，跟nginx没关系。火墙第二种是nginx自带的访问控制模块，比如ngx_http_access_module，这个直接在配置文件里写规则就行。第三种是第三方模块，比如ModSecurity或者ngx_lua_waf，这才是大家嘴里常说的“nginx防火墙”。

我自己的服务器上用的是ngx_lua_waf，一个基于OpenResty的轻量方案。部署过程不算复杂，但第一次配的时候我也踩了坑。它的核心逻辑是在nginx的access_by_lua_file阶段插入一段Lua脚本，让每个请求先过一遍规则库。规则库长什么样？大概就是一堆正则表达式，匹配到可疑的URL参数、User-Agent或者Cookie就直接返回403。

 location / {  access_by_lua_file /path/to/waf.lua; proxy_pass http://backend; } 

你看，没有“打开”这个动作。你写了access_by_lua_file，它就生效；注释掉，它就关闭。这就是nginx的风格——一切皆配置，没有开关按钮。

那如果你不想装第三方模块呢？nginx原生的limit_req和limit_conn也能挡掉一部分恶意流量。比如限制单个IP每秒最多10个请求：

 limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; server {  location / {  limit_req zone=one burst=20 nodelay; } } 

这玩意儿不算完整防火墙，但对付简单的CC攻击够用了。我有个做电商的朋友，去年双十一前被人压测，就是靠limit_req硬扛过去的。他说那会儿CPU飙到90%，但至少没崩。

再来说说ModSecurity。这东西功能强，规则多，但性能开销也大。我试过在一台2核4G的机器上跑ModSecurity加OWASP规则集，QPS直接从8000掉到2000。所以如果你流量不大，可以用；流量大，还是考虑Lua方案或者干脆在云厂商那边开WAF。

云厂商的WAF又是另一回事了。阿里云、腾讯云都有“Web应用防火墙”产品，那个是真有开关的——在控制台点一下“开启防护”，流量就先经过他们的清洗中心再回源到你的nginx。这种方案省心，但要钱，而且有时候误杀率不低。我有个客户被误封过整个C段IP，就是因为规则太激进。

回到最初的问题：nginx防火墙在哪里打开？答案取决于你要哪种。要系统防火墙，去iptables或firewalld里开。要nginx原生限制，去nginx.conf里写limit_req。要应用层WAF，去装ngx_lua_waf或者ModSecurity，然后在配置里引用。没有一键开关，只有一行行配置。

最后说个真事。我见过一个运维图省事，直接把deny all;写进server块，然后忘了加allow白名单。结果整个网站对外全403，他自己也进不去。所以啊，防火墙这东西，开之前先想好放行规则，不然就是给自己挖坑。