Linux边界防火墙过滤非法地理IP段，核心是精准识别、分层拦截、可运维、不误伤；须依托xt_geoip模块结合GeoLite2数据库实现国家代码级匹配，配合PREROUTING链粗筛、INPUT链细控、fail2ban动态封禁及完备验证机制。
大中型网络配置Linux边界防火墙过滤非法地理IP段，核心不是“封得越多越好”，而是“精准识别、分层拦截、可运维、不误伤”。直接硬套中国IP段列表或全量屏蔽国外IP风险极高——IP地理归属动态变化、CDN和云服务导致源IP失真、合规与业务连续性需平衡。真正可行的方案是结合地理IP数据库、状态化规则链和策略分级机制。
用GeoIP模块实现真实地理匹配（非简单IP段枚举）
iptables或nftables原生不支持地理判断，必须借助xtables-addons中的xt_geoip模块（推荐）或nft GeoIP扩展。它基于MaxMind等权威库的二进制数据库（如GeoLite2 Country），按国家/地区代码匹配，而非人工维护易过时的IP段列表。
- 安装并加载模块（以Ubuntu/Debian为例）：sudo apt install xtables-addons-common libtext-csv-xs-perl && sudo /usr/lib/xtables-addons/xt_geoip_dl（自动下载最新GeoLite2数据）
- 生成国家代码对应的数据集：sudo /usr/lib/xtables-addons/xt_geoip_build -D /usr/share/xt_geoip /usr/share/GeoIP/GeoLite2-Country.mmdb
- 封禁指定国家（如只允许CN、HK、TW访问Web端口）：sudo iptables -A INPUT -p tcp --dport 80 -m geoip ! --src-cc CN,HK,TW -j DROP
分层策略：外层粗筛 + 内层细控
边界防火墙应避免在INPUT链做复杂地理判断。正确做法是将地理过滤放在PREROUTING链（netfilter早期阶段），并配合连接跟踪优化性能：
- 先放行已建立连接（保障会话连续）：sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
- 再对新连接做地理过滤：sudo iptables -t raw -A PREROUTING -p tcp --dport 80 -m geoip ! --src-cc CN -j DROP（raw表优先级最高，开销最低）
- 对SSH等管理端口单独放行可信IP段（如办公网、运维专线），不参与地理过滤，防锁死：sudo iptables -A INPUT -s 10.10.50.0/24 -p tcp --dport 22 -j ACCEPT
日志驱动+自动化封禁闭环
纯静态地理封禁无法应对绕过行为（如攻击者使用国内IDC代理）。必须叠加实时日志分析与动态响应：
- 开启UFW或iptables日志（带前缀便于过滤）：sudo iptables -I INPUT -p tcp --dport 80 -m geoip --src-cc US -j LOG --log-prefix "GEO-BLOCK-US: "
- 用fail2ban解析日志，对高频异常请求IP追加临时iptables规则（比地理规则更细粒度）：[Definition] failregex = GEO-BLOCK-US:.*SRC=
- 定期更新GeoIP数据库（建议每月cron自动执行xt_geoip_dl和xt_geoip_build）
关键避坑与验证要点
部署后必须验证三件事：是否漏放、是否误杀、是否可回滚。
- 测试漏放：用海外代理访问80端口，确认返回Connection refused或超时（非403），证明DROP生效
- 测试误杀：从国内不同运营商（移动/联通/电信）、不同云厂商（阿里云华北、腾讯云华南）IP访问，确认全部可达
- 设置紧急逃生通道：添加一条高优先级ACCEPT规则（如sudo iptables -I INPUT 1 -s 192.168.100.0/24 -j ACCEPT），确保内网运维始终可用
- 规则持久化：iptables规则重启丢失，务必执行sudo iptables-save > /etc/iptables/rules.v4（Debian系）或启用iptables-services（RHEL系）
