屏蔽国外IP访问服务器是提升网络安全、减少恶意攻击和节省带宽资源的有效手段，核心上文归纳是：通过系统级防火墙（如iptables、firewalld或Windows防火墙）结合高效的IP地址库，或者利用Web服务器软件（如Nginx、Apache）的GeoIP模块，以及云服务商提供的网络安全组，可以实现精准、高效的海外IP拦截，在实际操作中，推荐优先使用ipset配合iptables或Nginx GeoIP2方案，因为它们在处理大量IP规则时能保持较高的性能,且易于维护和更新。
为什么要屏蔽国外IP访问
在深入技术细节之前，必须明确屏蔽国外IP的战略意义，对于主要面向国内用户的企业或个人站点，绝大多数来自海外的流量并非正常的业务访问，而是扫描、暴力破解、DDoS攻击尝试或垃圾评论。屏蔽这些IP不仅能显著降低服务器的负载，还能有效防止SQL注入和XSS攻击等安全隐患。 这还能节省宝贵的带宽资源，确保国内用户的访问速度和稳定性，从E-E-A-T（经验、专业性、权威性、可信度）的角度来看，这是一种基于“最小权限原则”的防御策略，即只允许必要的流量进入,拒绝一切未知的潜在威胁。
使用Linux系统防火墙配合ipset（推荐方案）
对于Linux服务器，直接使用iptables逐条添加成千上万条IP规则会导致严重的性能下降，甚至让服务器卡顿。最专业且高效的解决方案是利用ipset创建一个IP集合，然后让iptables直接匹配这个集合。
- 安装ipset： 大多数CentOS/Ubuntu系统可以通过包管理器直接安装，如
yum install ipset或apt-get install ipset。 - 创建IP集合： 使用
ipset create chinaip hash:net命令创建一个名为“chinaip”的集合，这里使用hash:net数据结构，专门用于存储IP网段,查询效率极高。 - 导入国内IP段： 需要从权威的数据源（如APNIC或国内开源维护的delegated-apnic-latest）获取中国的IP地址段列表，通过编写Shell脚本，过滤出国别为“CN”的IP段，并使用
ipset add chinaip x.x.x.x/xx命令批量导入。 - 配置iptables规则： 这是关键一步，配置默认策略为DROP（丢弃），然后允许已建立的连接，接着允许回环接口，最后允许匹配“chinaip”集合的流量通过。
iptables -A INPUT -m set --match-set chinaip src -j ACCEPT，这样，只有属于国内IP段的请求才能通过防火墙，其余所有海外IP（包括未在集合中的IP）都会被默认策略丢弃。
利用Nginx的GeoIP2模块进行应用层屏蔽
如果你使用的是Nginx作为Web服务器，且不想在系统防火墙层面操作，应用层的GeoIP模块是一个极佳的选择。这种方法的优势在于配置灵活，可以针对特定的网站或目录进行限制，而不会影响服务器上运行的其他服务（如SSH）。
- 安装GeoIP2库与模块： 现代Nginx推荐使用MaxMind的GeoIP2数据库，需要下载
ngx_http_geoip2_module模块并重新编译Nginx,或者直接使用OpenResty等集成了该功能的发行版。 - 下载IP数据库： 从MaxMind官网下载GeoLite2-Country.mmdb数据库文件,并放置在Nginx配置目录下。
- 配置Nginx.conf： 在
http块中指定数据库路径，并定义一个变量（如$geoip2_data_country_code）来存储国家代码。 - 设置访问规则： 在
server块中，使用if指令进行判断。if ($geoip2_data_country_code != "CN") { return 403; }。这条配置意味着，如果检测到的客户端IP国家代码不是“CN”，Nginx将直接返回403 Forbidden错误。 这种方法对业务逻辑侵入性小，且支持白名单机制,只需在判断条件中增加对特定IP的排除即可。
Windows服务器的IP安全策略
对于Windows Server用户，系统自带的“IP安全策略”或“高级安全Windows防火墙”可以实现同样的功能，虽然Windows下处理大量IP段的效率不如Linux,但对于常规应用已经足够。
- 获取IP列表： 同样需要准备一份国内的IP地址段文本文件。
- 创建IP筛选器： 在“本地安全策略”中，创建一个IP安全策略，设置“镜像”为出站和入站。
- 配置筛选器操作： 添加“阻止”操作。
- 批量导入： 这一步在Windows图形界面下操作较为繁琐，专业的做法是使用PowerShell脚本或命令行工具（如netsh）批量导入规则。 核心逻辑是：创建一个允许所有IP的规则，然后创建一个高优先级的阻止规则，或者反过来，创建一个只允许国内IP段的允许列表，为了防止误操作导致自己被锁在门外,务必先在允许列表中加入管理员自己的远程管理IP。
利用云服务商的网络安全组
如果你的服务器部署在阿里云、腾讯云或AWS等云平台上，利用云厂商提供的“安全组”或“网络ACL”是最省心且性能最好的方案。
云安全组通常支持基于地理位置的访问控制，或者允许你快速导入IP白名单，虽然部分云厂商的安全组不直接支持“国家”选项，但它们通常提供与第三方安全服务的集成。这种方案的优势在于防御发生在云基础设施的边缘，攻击流量甚至不会到达你的服务器虚拟机，从而彻底消耗了攻击者的资源。 建议在安全组配置中，仅开放必要的端口（如80、443）,并尽可能限制来源IP范围。
专业见解与最佳实践
在实施屏蔽国外IP时，切忌盲目屏蔽所有海外IP，如果你的业务有海外API调用需求，或者有海外合作伙伴需要访问，必须建立精细化的白名单机制，IP地址库是动态变化的，必须建立自动化的定时任务（Cron Job），定期（如每周）更新IP地址库和防火墙规则，否则随着IP分配的变更，可能会误伤国内用户或让新的海外攻击源漏网，建议在实施屏蔽后，持续监控服务器日志，观察是否有异常的403或Drop记录,以确保策略的有效性和准确性。
相关问答
Q1：屏蔽国外IP后，服务器的CPU和内存性能会受影响吗？
A： 如果方法得当，性能影响微乎其微，直接在iptables中逐条添加数万条规则会严重消耗CPU并增加网络延迟，导致连接变慢，但使用ipset或Nginx GeoIP2等基于哈希表或高效数据库的查找方式，即使处理数百万条IP记录，其时间复杂度也接近O(1)，对性能的影响几乎可以忽略不计,强烈建议避免使用低效的逐条匹配方式。
Q2：如果使用了CDN加速，屏蔽国外IP还有效吗？
A： 这种情况下情况会变得复杂，如果用户通过CDN访问，服务器看到的源IP通常是CDN节点的IP，而不是用户的真实IP，如果在服务器上直接屏蔽国外IP，可能会误判CDN节点（部分CDN节点可能在海外）并导致正常用户无法访问。正确的做法是在CDN厂商的控制台（如Cloudflare、阿里云CDN）上配置“区域封锁”功能，让CDN在边缘节点就拦截海外流量,只将合法的国内流量回源到服务器。
希望以上方案能帮助您有效提升服务器的安全性，如果您在具体配置过程中遇到问题，或者有更高效的脚本实现方式,欢迎在评论区分享您的经验和见解。
