🛡️ 部署记录：Nginx 持久化黑名单（Fail2ban 联动）

IsaacZ

🛡️ 部署记录：Nginx 持久化黑名单（Fail2ban 联动）

时间：2025-12-01
目标：将 Fail2ban 封禁的恶意 IP 持久化至 Nginx，实现静默拦截，降低后端负载。

实现方式：

• Jail 名称：search-ipset（对应 ipset：f2b-search-ipset）
• 黑名单路径：/www/fail2ban-persist/bad-ips.map
• Nginx 配置：通过 map 模块加载黑名单，if ($blocked_ip) { return 444; } 拦截请求
• 同步机制：每日 02:00 自动执行脚本导出最新 IP；支持手动触发
• 性能优化：设置 maphashmax_size 262144 适配 15 万+ 条目
  

效果：

• 当前拦截 IP 数：153,987+
• 所有被封 IP 无法建立有效连接（返回 444），不产生 access_log
• 与 Fail2ban 实时 iptables 封禁形成双重防护
  

目录结构（统一管理）：

1. /www/fail2ban-persist/
   
2. ├── export-ips.sh          # 同步脚本
   
3. ├── bad-ips.map            # Nginx 黑名单
   
4. └── logs/export.log        # 运行日志
   

复制代码

✅ 全程无侵入宝塔默认配置，易于维护与迁移。

---