要实现服务器屏蔽国外IP访问，最专业且高效的手段是结合GeoIP数据库与防火墙规则，或者利用云服务商的安全组及CDN的地理访问控制功能，核心逻辑并非逐一添加国外IP，而是通过识别IP归属地的地理位置特征，制定“仅允许国内IP段”或“拒绝特定国家IP段”的访问控制策略（ACL），这种方法既能有效防御海外恶意扫描和攻击，又能降低服务器负载,提升业务访问速度。
Linux服务器基于iptables与ipset的屏蔽方案
对于运行Linux操作系统的服务器，使用iptables配合ipset模块是目前业界公认的性能最优解决方案，传统的iptables规则在处理大量IP段时，由于是线性匹配，会导致规则越多性能越差，而ipset使用哈希表存储IP集合，匹配效率极高,能够轻松处理数万条IP规则。
实施步骤如下：
需要安装ipset工具，在CentOS或RedHat系统中通常通过yum install ipset安装，在Debian或Ubuntu中则使用apt-get install ipset。
创建一个名为“cnblock”的IP集合，并指定存储类型为“nethash”（适用于存储网段），命令为：ipset create cnblock nethash。
获取国内IP地址段，为了实现“屏蔽国外”，通常采用“白名单机制”，即只允许国内IP访问，拒绝其他所有IP，我们需要从权威机构（如APNIC）下载最新的全球IP分配表，并提取属于中国的CNIP段，可以通过脚本解析delegated-apnic-latest文件，过滤出“cn”字段的IPv4段，并将其批量导入到ipset集合中，导入命令示例：ipset add cnblock 1.0.1.0/24。
配置iptables规则。核心策略是：先放行属于“cnblock”集合的流量，再丢弃其他所有入站流量。 具体规则如下：
iptables -A INPUT -m set --match-set cnblock src -j ACCEPT（匹配国内IP并放行）iptables -A INPUT -j DROP（丢弃其他所有流量,即屏蔽国外）
注意： 在执行DROP操作前，务必确保已放行SSH管理端口（如22端口）或回环接口,否则可能导致管理员无法连接服务器。
Windows服务器的IP安全策略配置
对于Windows Server环境，系统内置的IP安全策略提供了强大的访问控制能力，虽然配置界面相对复杂,但不需要安装第三方软件即可实现精细的地理访问控制。
配置核心逻辑：
通过“本地安全策略”管理单元，创建一个新的IP安全策略，策略的核心在于建立IP筛选器列表，由于Windows无法直接识别GeoIP,管理员需要预先准备好国内IP地址段的文本列表。
操作流程：
- 打开
secpol.msc，右键点击“IP安全策略，在本地计算机”，选择“管理IP筛选器表和筛选器操作”。 - 创建一个筛选器列表，命名为“Allow_China”，在列表中添加多个筛选器，源IP设置为具体的国内IP段（如58.0.0.0/7等），目标IP选择“我的IP地址”或“任何IP地址”，协议类型为“任何”。
- 创建筛选器操作，命名为“Permit”和“Block”，分别设置为“允许”和“阻止”。
- 在规则属性中，将“Allow_China”筛选器列表关联到“Permit”操作，并添加一条默认的“所有IP通讯”关联到“Block”操作。
- 关键点： 必须在“IP筛选器”的“地址”选项中，镜像选项通常保持默认,确保双向流量控制一致。
为了简化这一繁琐过程，许多专业管理员会编写PowerShell脚本，利用Windows防火墙的New-NetFirewallRule命令，循环读取国内IP文本文件并批量导入规则,这比GUI操作更高效且不易出错。
Nginx与Apache应用层访问控制
如果在Web服务器层面（如Nginx或Apache）进行控制，虽然灵活性高，但消耗的资源相对较多，因为请求已经穿透到了应用层，对于无法触碰系统防火墙的虚拟主机用户,这是唯一的选择。
Nginx配置方案：
Nginx需要编译安装ngx_http_geoip2_module模块，配置时，首先在http块定义GeoIP2数据库路径：
geoip2 /path/to/GeoLite2-Country.mmdb {
auto_reload 5m;
$geoip2_country_code default=US source=$remote_addr country iso_code;
}
然后在server块中进行判断：
if ($geoip2_country_code !~* "CN") {
return 403;
}
这段配置的含义是：如果客户端IP的国家代码不是“CN”，则直接返回403禁止访问错误。这种方法的优点是配置简单，且支持基于域名的差异化控制，缺点是无法防御非HTTP协议的攻击。
利用云安全组与CDN的边缘防护
对于部署在阿里云、腾讯云或AWS上的云服务器，利用云厂商提供的安全组或云防火墙是最佳实践，云安全组通常有规则条数限制（如最多100条）,无法直接添加所有国内IP段。
专业解决方案：
- 云防火墙（企业级）： 开通云厂商的云防火墙服务，通常支持“区域访问控制”，在访问控制策略中，直接配置“源地区域”为“中国”，动作设置为“放行”，并配置最后一条默认策略为“拦截”，这种方式由云厂商的分布式网关执行,性能极高且维护成本低。
- CDN/WAF集成： 如果业务使用了CDN加速，如Cloudflare或阿里云CDN，可以在CDN的“边缘节点”直接设置“区域封禁”，设置“仅允许中国地区访问”，这样海外流量在未到达源站服务器之前就被拦截，这是最节省源站资源的方案。
实施过程中的关键考量与维护
在实施屏蔽国外IP的策略时，白名单维护至关重要，国内IP地址段并非一成不变，APNIC等机构会定期分配新的IP段，如果规则库长期不更新，会导致部分合法的国内用户无法访问，建议建立定时任务（Cron Job）,每月自动下载最新的IP库并更新防火墙规则。
性能监控必不可少，在iptables规则激增后，应监控服务器的CPU中断率和网络延迟，如果发现性能下降，应考虑将部分规则迁移至硬件防火墙或云防火墙中，对于需要跨国协作的企业（如开发团队在海外），必须提前将特定的海外出口IP加入白名单,避免造成管理中断。
相关问答
Q1：服务器屏蔽国外IP后，网站打开速度会变快吗？
A： 会有一定程度的提升，虽然主要影响的是访问权限，但屏蔽了大量无效的海外恶意扫描和攻击流量，减少了服务器处理无效连接（如SYN Flood攻击）的CPU和内存消耗，从而使服务器有更多资源处理合法的国内用户请求,间接提升了响应速度和稳定性。
Q2：如何验证屏蔽国外IP的策略是否生效？
A： 最直接的方法是使用在线代理工具或VPN模拟海外IP访问网站，观察是否返回403或连接超时，更专业的方法是使用curl命令配合代理，curl -x http://海外代理IP:端口 -I http://你的网站域名，如果返回HTTP/1.1 403 Forbidden或Connection timed out，则证明策略生效，查看服务器日志（如/var/log/messages或Nginx的access.log）,确认是否有来自海外IP的拦截记录。
您现在的服务器环境是Linux还是Windows？在实施上述方案时遇到了哪些具体问题？欢迎在评论区分享您的配置经验,我们将为您提供更针对性的技术支持。
