宝塔IP黑名单无法按国家屏蔽，因其免费防火墙不支持GeoIP地理识别；需编译Nginx启用geoip2模块，配合GeoLite2数据库与map+return规则实现国家级拦截。

为什么直接用宝塔的“IP黑名单”功能无法按国家屏蔽

宝塔面板自带的防火墙插件（免费版）只支持手动添加单个IP或IP段，不识别地理位置信息。你上传一个国家的IP段列表，它会卡顿甚至崩溃——因为GeoIP需要实时查表，不是简单字符串匹配。
真正可行的路径是：让Nginx在请求进入应用前，通过geoip2模块解析客户端IP所属国家，再结合map和return做响应拦截。

如何确认你的宝塔Nginx已编译支持GeoIP2模块

宝塔7.9+默认安装的Nginx（非“极速编译”版本）通常不含ngx_http_geoip2_module。执行以下命令验证：

nginx -V 2>&1 | grep -o with-http_geoip2_module

如果无输出，说明没启用。此时不能靠宝塔界面勾选解决——必须重装Nginx并手动编译：
• 进入宝塔「软件商店」→「Nginx」→ 点击右侧「设置」→「编译安装」
• 勾选「GeoIP2」选项（宝塔8.0+才显示该选项）
• 若无此选项，需先卸载当前Nginx，再通过SSH运行宝塔提供的编译脚本并追加--add-module=/www/server/geoip2参数
• 编译耗时约8–15分钟，期间网站会短暂中断

配置Nginx使用GeoIP2数据库精准识别国家并拦截

宝塔不提供图形化GeoIP2配置入口，所有操作需手动编辑Nginx主配置或站点配置。关键点有三个：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 下载MaxMind GeoLite2 Country数据库（GeoLite2-Country.mmdb），放至/www/server/geoip2/目录（需自行创建）
• 在/www/server/nginx/conf/nginx.conf的http块顶部加入：

  load_module modules/ngx_http_geoip2_module.so;
  geoip2 /www/server/geoip2/GeoLite2-Country.mmdb {
    $geoip2_data_country_code source=$remote_addr country iso_code;
  }

• 在具体站点的配置文件（如/www/server/panel/vhost/nginx/your-site.conf）的server块内添加拦截逻辑：

  map $geoip2_data_country_code $blocked_country {
    default 0;
    "CN" 1;  # 屏蔽中国
    "KP" 1;  # 屏蔽朝鲜
    "IR" 1;  # 屏蔽伊朗
  }
  if ($blocked_country = 1) {
    return 444;  # Nginx专用“关闭连接”状态码，比403更轻量
  }

注意：return 444不会发任何响应体，能减少带宽和日志开销；若需返回友好提示，改用return 403 "Access denied."，但会增加日志体积。

为什么不要把GeoIP2规则写在宝塔的“网站-防火墙”里

宝塔网站防火墙本质是基于ngx_lua的WAF规则，它在Nginx的access_phase阶段执行，而GeoIP2解析发生在更早的postread_phase。两者阶段不同，变量不可互通——你在防火墙里写的$geoip2_data_country_code永远为空。
更隐蔽的问题是：一旦你在站点配置中用了if，又在宝塔防火墙里启用了“CC防护”，可能触发Nginx的if is evil限制，导致整个server块配置失效，Nginx启动报错nginx: [emerg] "if" directive is not allowed here。

GeoIP2的数据库更新频率高（每月一次），但宝塔不会自动帮你下载替换；手动更新时，记得chown www:www权限并nginx -t && nginx -s reload，漏掉任一环节都会让屏蔽失效。