案例实现IP黑名单？

wen 网络安全 2026-06-05 45

案例实现IP黑名单：从零搭建企业级防御体系实战指南

目录导读

为什么需要IP黑名单？——安全防御的“第一道门”
案例背景：某电商平台遭遇的恶意爬虫攻击
IP黑名单的五大实现方案对比（含代码）
实战案例：基于Nginx + Redis的动态IP黑名单搭建
常见问题问答（Q&A）
黑名单管理的最佳实践与避坑指南
IP黑名单的进化方向

为什么需要IP黑名单？——安全防御的“第一道门”

你是否遇到过这样的情况？网站后台突然涌入大量垃圾注册，服务器CPU飙升到100%，而真实用户却无法正常访问，根据2024年安全报告，超过37%的Web攻击来自重复IP发起的自动化攻击，IP黑名单作为最基础的访问控制手段，能够在应用层快速阻断已知恶意来源，是降低服务器负载、防止CC攻击和爬虫滥用的“第一道防线”。

案例实现IP黑名单？

核心价值：无需修改业务代码，通过防火墙或反向代理层即可实现“一次封禁，全局生效”。

案例背景：某电商平台遭遇的恶意爬虫攻击

场景：某中等规模电商平台（日均PV 200万）在双11大促期间发现：

凌晨3点-5点出现异常流量峰值,带宽占用率超过90%
同一IP（235.xx.xx）在30分钟内发送了12万次商品详情页请求
该IP代理特征明显，疑似AWS云机房节点

业务影响：

商品库存接口响应时间从50ms飙升到3.2秒
正常用户下单失败率达到15%
数据库连接池被占满，导致后台管理页面502错误

决策：需要在5分钟内上线一套动态IP黑名单系统，既能阻断已知恶意IP,又能避免误封正常用户。

IP黑名单的五大实现方案对比（含代码）

方案	适用场景	实时性	性能损耗	配置复杂度
防火墙ACL	硬件设备防御	中等	低	高（需网络团队）
Nginx配置	单机/小规模	高	低	简单
Redis动态列表	分布式/高并发	极高	极低	中等
脚本定时同步	老旧系统对接	低	中等	简单
第三方WAF	云原生架构	高	极低	低（需付费）

推荐组合方案：Nginx Lua + Redis + 管理后台，理由：开源免费、支持毫秒级生效、可水平扩展。

实战案例：基于Nginx + Redis的动态IP黑名单搭建

1 环境准备

服务器：Linux CentOS 7.9
软件：OpenResty（带Lua模块的Nginx）+ Redis 6.2
安全域名：ipblock.example.com（用于管理端）

2 核心代码实现（节选）

# Nginx配置文件 block_blacklist.conf
lua_shared_dict blacklist_cache 100m;  # 共享内存缓存
server {
    listen 443 ssl;
    server_name api.example.com;
    access_by_lua_block {
        local redis = require "resty.redis"
        local red = redis:new()
        local ok, err = red:connect("127.0.0.1", 6379)
        if not ok then
            ngx.log(ngx.ERR, "Redis连接失败: ", err)
            return
        end
        -- 从Redis获取当前IP黑名单
        local is_blocked = red:sismember("blacklist:ip", ngx.var.remote_addr)
        red:set_keepalive(10000, 100)
        if is_blocked == 1 then
            ngx.log(ngx.WARN, "阻断恶意IP: ", ngx.var.remote_addr)
            ngx.exit(ngx.HTTP_FORBIDDEN)
        end
    }
    location / {
        proxy_pass http://backend_server;
    }
}

3 管理后台添加黑名单

# 添加单个IP到黑名单
SADD blacklist:ip "103.235.xx.xx"
# 添加IP段（CIDR格式）
SADD blacklist:ip "192.168.1.0/24"
# 设置黑名单过期时间（防止永久封禁误伤）
EXPIRE blacklist:ip 86400  # 24小时自动解封

4 自动化同步脚本（基于Shell + Cron）

#!/bin/bash
# sync_blacklist.sh 每小时从日志分析结果更新黑名单
# 从日志提取连续失败次数超过100的IP
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | awk '$1 > 100 {print $2}' > /tmp/temp_ips.txt
# 批量添加到Redis
cat /tmp/temp_ips.txt | while read ip; do
    /usr/bin/redis-cli -h 127.0.0.1 SADD blacklist:auto_ip "$ip"
done

效果验证：部署后恶意IP请求立即返回403状态码，服务器CPU占用从92%降至15%。