因为数据合规、网络安全或者是特殊业务策略需求下，企业可能会需要屏蔽特定国家的IP访问。如何实现屏蔽特定访问IP？本文将为大家分享从IP库获取到实时拦截的全流程实施方案，包括防护墙配置、web服务器规则、CDN策略及自动化维护方法等。
首先是IP地理位置数据库选型与获取。MaxMind GeoLite2 是广泛使用的免费数据库，提供国家与IP的映射关系。安装步骤：
wget https://geolite.maxmind.com/download/geoip/database/GeoLite2Country.tar.gz
tar zxvf GeoLite2Country.tar.gz
mv GeoLite2Country_/GeoLite2Country.mmdb /usr/local/share/GeoIP/商业版GeoIP2精度更高，支持每小时更新。企业级用户可通过API获取实时数据：
curl s "https://api.maxmind.com/geoip/v2.1/country/1.1.1.1?pretty" \
u "USER_ID:LICENSE_KEY"区域互联网注册机构（RIR）提供原始IP分配数据，适合需要自主维护清单的场景。例如APNIC的每日数据：
wget ftp://ftp.apnic.net/pub/stats/apnic/delegatedapniclatest
grep '|CN|ipv4' delegatedapniclatest | awk F'|' '{print $4 "/" 32log($5)/log(2)}' > cn_ips.txt防火墙层拦截使用iptables批量添加规则（以屏蔽中国IP为例）：
# 创建IP集合
ipset create cn_ips hash:net
# 导入IP段
while read line; do
ipset add cn_ips $line
done < cn_ips.txt
# 设置防火墙规则
iptables I INPUT m set matchset cn_ips src j DROP
iptables I FORWARD m set matchset cn_ips src j DROP
nftables方案性能更优：
table inet filter {
set cn_ips {
type ipv4_addr
flags interval
elements = { 1.0.1.0/24, 1.0.2.0/23, ... }
}
chain input {
type filter hook input priority 0;
ip saddr @cn_ips drop
}
}
关键参数优化：
hashsize 根据IP数量调整（默认1024）
maxelem 设置足够大的容量（如1000000）
timeout 动态IP过期时间（建议86400秒）
Web服务器级拦截Nginx配置示例（需安装ngx_http_geoip_module）：
http {
geoip_country /usr/local/share/GeoIP/GeoLite2Country.mmdb;
map $geoip_country_code $block_country {
default 0;
CN 1;
RU 1;
}
server {
if ($block_country) {
return 403;
}
}
}
Apache方案使用mod_geoip：
GeoIPEnable On
GeoIPDBFile /usr/local/share/GeoIP/GeoIP.dat
RewriteEngine On
RewriteCond %{ENV:GEOIP_COUNTRY_CODE} ^(CN|RU)$
RewriteRule ^(.)$ [F]
性能影响测试在4核服务器上，开启GeoIP检测后QPS从12,000降至10,500，需增加10%的硬件冗余。
CDN与云平台方案Cloudflare配置步骤：
防火墙规则中添加表达式：(ip.geoip.country eq "CN")。操作选择"Block"设置生效范围（全站点或特定路径），地理匹配规则如创建Web ACL，添加地理匹配条件（Country codes: CN）关联ALB或CloudFront分发，使用crontab每日更新IP列表：
0 3 /usr/bin/curl s https://download.maxmind.com/app/geoip_download?edition_id=GeoLite2Country&license_key=YOUR_KEY&suffix=tar.gz o GeoLite2Country.tar.gz && tar xzf GeoLite2Country.tar.gz stripcomponents=1 C /usr/local/share/GeoIP/ && systemctl reload nginx绕过检测的应对策略可以检测常见端口（如1194）：
iptables A INPUT p tcp dport 1194 j DROP
iptables A INPUT p udp dport 1194 j DROP深度包检测（DPI）识别协议特征：
nft add rule inet filter input tcp dport 443 tcp payload @ 0,16 1352148815254781952 drop使用IP信誉数据库（如AbuseIPDB）：
curl s https://api.abuseipdb.com/api/v2/check \
dataurlencode "ipAddress=1.1.1.1" \
H "Key: YOUR_API_KEY" \
H "Accept: application/json"响应中检查isTor或abuseConfidenceScore字段。
行为模式分析配置Fail2ban规则识别异常访问：
[geoblock]
enabled = true
filter = geoblock
action = iptablesallports[name=GeoBlock]
logpath = /var/log/nginx/access.log
maxretry = 5
findtime = 600自定义过滤器：
# /etc/fail2ban/filter.d/geoblock.conf
[Definition]
failregex = ^<HOST>."GET \/admin.性能优化与测试可以使用压力测试工具vegeta验证拦截效率：
echo "GET http://target.com" | vegeta attack duration=60s rate=1000 | tee results.bin | vegeta report关键指标有拦截准确率应>99.99%，误封率需<0.001%，新增规则后延迟增长不超过5ms
硬件级加速方案有使用DPDK提升网络吞吐，部署智能网卡执行过滤规则，基于eBPF实现内核层快速判断。法律合规与隐私保护中，GDPR合规性中欧盟用户需明确告知地理封锁策略。数据留存访问日志保存不超过30天，豁免机制设置申诉通道处理误封情况，审计记录保留规则变更历史至少180天，实施地理封锁时，需在网站底部添加声明
通过以上多层级防护体系，可有效屏蔽指定国家IP访问，同时确保业务系统的稳定运行。建议每季度进行规则审计，结合业务发展调整策略。在全球化与本地化需求并存的今天，智能化的地理访问控制已成为企业安全架构不可或缺的组成部分。
