在服务器运维和安全防护中，针对特定地域的访问控制是一项常见需求，要在服务器上精准屏蔽来自北京的IP地址段，核心上文归纳是：必须利用IP地理位置数据库（GeoIP）将IP地址映射为地理位置信息，并结合系统防火墙（如iptables、firewalld）或Web服务器配置（如Nginx、Apache）制定精准的拦截规则。 对于Linux服务器，最推荐且性能最优的方案是使用ipset配合iptables，这种方式能高效处理大量IP段,最大限度降低对服务器性能的影响。
基于Linux系统的iptables与ipset联合屏蔽方案
在Linux环境下，直接使用iptables逐条添加成千上万条北京IP规则会导致严重的性能损耗，甚至让服务器响应变慢。ipset是Linux内核提供的一种IP集合管理工具，它允许将多个IP地址存储在一个集合中，iptables只需一条规则即可匹配整个集合，极大提升了匹配效率。
获取北京IP地址段数据
首先需要一份准确且更新的北京地区IP地址段列表，这通常通过专业的GeoIP数据库（如MaxMind GeoLite2）或国内开源的IP地址库（如ip2region）解析得出，运维人员需要编写脚本，从这些数据库中提取出归属地为“北京”的CIDR格式的IP段。
创建并配置ipset集合
在终端中执行以下命令创建一个专门用于存储北京IP的集合，这里使用hash:net类型,因为它适合存储网段：
ipset create beijing_block hash:net
批量导入IP段到ipset
将提取出的北京IP段列表（假设保存在beijing_ips.txt文件中）批量导入到集合中：
while read line; do ipset add beijing_block $line; done < beijing_ips.txt
这一步将所有需要屏蔽的北京网段加载进内存,由内核直接管理。
设置iptables拦截规则
在iptables的INPUT链中添加一条规则，将源地址属于beijing_block集合的数据包全部丢弃：
iptables -I INPUT -m set --match-set beijing_block src -j DROP service iptables save
独立见解： 这种方法的优势在于将“数据管理”与“规则匹配”分离，当IP列表需要更新时，只需刷新ipset，而无需重新加载复杂的iptables规则,保证了业务不中断且拦截即时生效。
基于Nginx的GeoIP2模块屏蔽方案
对于Web应用，直接在Nginx层面进行地域拦截更为灵活，特别是当服务器运行在反向代理或负载均衡之后时。现代Nginx推荐使用ngx_http_geoip2模块，它支持MaxMind的GeoIP2数据库，识别精度更高。
安装模块与数据库
确保Nginx编译时包含了http_geoip2_module，并下载最新的GeoLite2-City.mmdb数据库文件放置在Nginx配置目录下。
配置Nginx拦截逻辑
在http块中定义GeoIP2数据库路径，并在server块中利用map指令或直接判断进行拦截。
配置示例：
http {
geoip2 /path/to/GeoLite2-City.mmdb {
auto_reload 5m;
$geoip2_data_city_name city names en;
}
server {
# 如果城市名称为Beijing，直接返回403
if ($geoip2_data_city_name = "Beijing") {
return 403;
}
# 其他业务配置...
}
}
专业提示： 使用if指令在Nginx中虽然方便，但在某些高并发场景下有微小陷阱，更严谨的做法是使用map指令将城市名映射为允许/拒绝的变量，然后在location中判断该变量，这样逻辑更清晰,性能更稳定。
基于Windows Server的防火墙策略
在Windows Server环境下，可以通过PowerShell脚本结合高级安全Windows防火墙来实现，由于Windows不支持原生的GeoIP查询，通常做法是编写PowerShell脚本，定期从IP库拉取北京IP段,并动态更新防火墙规则。
核心步骤：
- 编写PowerShell脚本,请求IP归属地API或读取本地IP库。
- 筛选出目标IP段。
- 使用
New-NetFirewallRulecmdlet创建规则，或者使用Set-NetFirewallRule更新现有规则的远程地址范围。
注意： Windows防火墙对大量IP段的处理能力不如Linux的iptables，如果IP段数量极其庞大（超过数万条）,建议考虑在云厂商的负载均衡层或安全组层面进行拦截。
云端安全组与CDN边缘拦截（最佳实践）
如果您的服务器部署在阿里云、腾讯云或AWS等云平台，最专业的做法不是在服务器内部屏蔽，而是在云安全组或WAF（Web应用防火墙）层面配置地域封禁。
- 云WAF配置： 大多数云WAF产品内置了“区域封禁”功能，只需在控制台勾选“北京”并设置为“拦截”,规则即刻在全球边缘节点生效。
- 优势分析： 这种方案将恶意流量在未到达服务器之前就阻断，节省了服务器带宽、CPU和内存资源，是真正符合E-E-A-T原则的高可用架构设计，它避免了服务器自身处理大量无效连接请求,保障了业务的高并发处理能力。
实施过程中的风险与注意事项
在执行屏蔽操作时，必须保持严谨的态度,避免误伤正常用户。
- IP库的准确性： IP地址的归属地是动态变化的，运营商可能会重新分配IP段。必须建立定期更新机制（如Crontab定时任务）,建议每周或每月更新一次IP库。
- 代理与CDN流量： 如果您的网站使用了CDN加速，用户访问IP实际上是CDN节点的IP，而非用户的真实IP，直接屏蔽北京IP可能会误伤所有通过北京CDN节点访问的合法用户。解决方案是配置Nginx读取
X-Forwarded-For头部字段来获取真实IP，或者在CDN配置层面进行地域限制。 - 测试与回滚： 在正式屏蔽前，建议先配置为“只记录日志不拦截”，观察一段时间，确认拦截规则准确无误后,再开启DROP或403动作。
相关问答：屏蔽北京IP的常见问题
Q1：屏蔽了北京IP后，为什么服务器负载依然很高？
A： 这种情况通常意味着攻击者使用了代理服务器、VPN或肉鸡，其出口IP并不在北京，或者您的网站使用了CDN导致源站看到的都是CDN节点的IP，建议检查Nginx日志中的X-Forwarded-For字段，确认真实来源IP，或者升级为基于行为特征的WAF防护策略,而非单纯依赖地域屏蔽。
Q2：如何验证屏蔽北京IP的规则是否生效？
A： 可以使用curl命令配合-x参数（如果测试代理）或直接从服务器外网进行测试，更简单的方法是使用在线IP代理工具，将出口IP设置为北京地区的IP，尝试访问网站域名，如果配置正确，您应该收到403 Forbidden或连接超时的响应,而不是正常的网页内容。
互动环节：
您在运维过程中是否遇到过难以屏蔽的特定区域攻击？或者您有更高效的自动化脚本分享？欢迎在评论区留言,我们一起探讨更完善的服务器防护策略。
