1. 服务器安全防护基础：为什么要限制境外IP访问
去年处理某企业数据泄露事件时，发现攻击流量中78%来自境外IP段。这不是特例——根据我多年运维经验，未经防护的服务器通常会在开放端口后24小时内收到境外扫描探测。限制境外IP访问是最基础却最有效的安全策略之一。
这种防护本质上是通过网络层过滤实现的。当TCP三次握手的第一包SYN到达服务器时，内核会根据预设规则决定是否放行。传统方案是直接修改iptables规则，但面对海量境外IP段时，更推荐ipset这种哈希存储结构，它能将数万条规则压缩为O(1)时间复杂度的查询。
2. 核心防护方案对比与选型
2.1 iptables原生方案
直接在iptables中添加规则是最原始的方法：
iptables -A INPUT -p tcp --dport 80 -s 58.16.0.0/16 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j DROP这种方式的痛点很明显：
- 每条规则都是线性查找，当需要屏蔽的IP段超过500个时会产生明显性能损耗
- 规则维护困难，每次更新都需要重载整个规则表
- 不支持国家/地区级别的批量操作
2.2 ipset优化方案
ipset通过空间换时间的思路完美解决上述问题：
ipset create china hash:net ipset add china 58.16.0.0/16 ipset add china 116.128.0.0/10 iptables -A INPUT -m set --match-set china src -j ACCEPT实测表明，当需要处理的IP段超过2000个时，ipset方案比纯iptables规则吞吐量高47倍，CPU占用降低82%。
3. 实战：构建国家级别IP过滤系统
3.1 获取精准IP地理数据库
推荐使用以下更新源：
- APNIC最新分配列表（每日更新）
- IP2Location LITE数据库（免费版）
- 国内运营商公布的IP段
我通常用这个脚本自动获取CN IP段：
wget -O- http://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest | awk -F'|' '/CN|ipv4/ { print $4 "/" 32-log($5)/log(2) }' > china.ip3.2 动态IP集合维护
创建支持超时机制的ipset：
ipset -N china hash:net timeout 86400 while read cidr; do ipset -A china $cidr done < china.ip设置24小时超时后，每天通过cron更新即可保证数据新鲜度。
3.3 完整防火墙规则配置
建议的分层防护策略：
# 放行已知安全IP iptables -N SAFELIST iptables -A SAFELIST -s 192.168.1.0/24 -j ACCEPT # 国家白名单 iptables -N GEOFILTER iptables -A GEOFILTER -m set --match-set china src -j ACCEPT iptables -A GEOFILTER -j LOG --log-prefix "[BLOCKED_FOREIGN]" iptables -A GEOFILTER -j DROP # 应用规则链 iptables -A INPUT -j SAFELIST iptables -A INPUT -p tcp --dport 22 -j GEOFILTER iptables -A INPUT -p tcp --dport 80 -j GEOFILTER4. 高级防护技巧与问题排查
4.1 应对IP伪造攻击
境外攻击者常伪造国内IP（如三大运营商IP段），建议追加验证：
iptables -A GEOFILTER -m connlimit --connlimit-above 50 -j DROP iptables -A GEOFILTER -m recent --name ATTACK --set iptables -A GEOFILTER -m recent --name ATTACK --update --seconds 60 --hitcount 10 -j DROP4.2 性能优化参数
在高并发场景下需要调整内核参数：
echo 1000000 > /proc/sys/net/ipv4/ip_set_max sysctl -w net.ipv4.netfilter.ip_conntrack_max=20000004.3 常见故障排查
当出现误拦截时：
- 检查实时拦截日志：
tail -f /var/log/messages | grep BLOCKED_FOREIGN- 测试特定IP是否在集合中：
ipset test china 203.156.236.110- 临时禁用规则调试：
iptables -D INPUT -j GEOFILTER5. 企业级部署建议
对于生产环境，我推荐采用分层防御架构：
- 边缘路由器：部署ACL过滤已知恶意IP段
- 防火墙集群：运行ipset实现国家级别过滤
- 应用服务器：配置应用层白名单（如Nginx geo模块）
在Kubernetes环境中，可以通过NetworkPolicy实现更精细的控制：
apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: china-only spec: podSelector: {} policyTypes: - Ingress ingress: - from: - ipBlock: cidr: 58.16.0.0/16最后提醒：任何防火墙规则都要配套监控系统，建议用Prometheus采集这些指标：
- iptables规则匹配计数
- ipset内存占用
- 被拦截IP的地理分布
