应采用GeoLite2数据库驱动自动化IP集构建，结合ipset哈希查表与nftables或iptables-geoip实现高性能地理过滤，辅以灰度发布、日志审计和秒级回滚机制。
大中型网络对边界防火墙的地理IP过滤要求高、规模大、稳定性强，不能靠手动逐条添加规则，需兼顾性能、可维护性和精准性。核心思路是：用地理IP数据库驱动自动化规则生成，结合企业级防火墙工具（如firewalld或iptables-geoip）实现高效匹配，同时避免全量规则拖慢转发性能。
选择支持GeoIP的防火墙方案
普通iptables默认不识别国家码，必须扩展支持：
- 推荐使用 iptables + geoip模块（需安装 iptables-extra 和 geoip-database 包），支持
--src-cc CN或--src-cc !CN语法，直接按国家代码匹配 - firewalld 本身不原生支持地理IP，但可通过自定义rich rule配合外部脚本间接实现；生产环境更建议切换到支持GeoIP的专用工具链，如 nftables + ipset + GeoLite2 数据库组合
- 云环境优先启用云厂商的“地域访问控制”功能（如阿里云云防火墙、腾讯云WAF的地域封禁），配置简单、自动更新、无需运维IP列表
获取并更新可信地理IP数据源
不准的IP库会导致误杀或漏放，必须选用权威、可更新的数据：
- 采用 MaxMind GeoLite2 Country 免费数据库（需注册获取License Key），每月更新，覆盖全球IPv4/IPv6地址段与国家映射
- 避免使用静态CSV或手工整理的“中国IP段列表”，因IANA分配和运营商路由变化频繁，静态列表3个月内失效率超40%
- 部署自动化更新脚本：定时下载新数据库、解析出所有非目标国（如仅需国内）的CIDR段，生成压缩后的IP集合文件
构建高性能IP集+策略分层机制
直接向iptables添加数万条DROP规则会严重拖慢包处理速度，应改用哈希查找结构：
- 用
ipset创建类型为hash:net的集合（如blacklist_geo），批量导入国外IP网段 - iptables仅设1条规则：
iptables -I INPUT -m set --match-set blacklist_geo src -j DROP，查表时间复杂度O(1) - 对高频访问地区（如国内）可反向建白名单集合，再配一条
ACCEPT规则置于DROP之前，实现“先白后黑”逻辑 - 将规则按业务区域分zone管理（如public、dmz、internal），避免一条规则影响全部流量平面
验证与运维闭环设计
上线后必须持续验证效果并防止规则腐化：
- 启用
iptables -j LOG日志规则（限速防刷），记录被拦截的源IP及匹配国家码，用rsyslog+ELK分析拦截分布 - 定期比对
ipset list blacklist_geo | wc -l与预期网段数量，偏差超5%触发告警 - 设置灰度策略：新IP库先在测试区应用，观察丢包率、连接失败率无异常后再推至生产边界
- 保留上一版IP集快照，更新失败时可5秒内回滚：
ipset restore < /etc/ipset/backup.v1
