精准封禁恶意ASN需先查其活跃CIDR段再逐段封禁：一、识别高风险ASN（多情报平台标记+数据中心/云/代理归属+日志异常行为）；二、用RIPEstat等查实时宣告段并剔除失效段；三、iptables逐段-A INPUT -s CIDR -j DROP，加LOG记录并保存；四、监控命中率、设白名单兜底、每两周更新段列表。
直接封禁恶意 ASN 的流量，核心不是“全封”，而是“精准封段”——因为 ASN 本身不直接对应 IP，必须先查它实际宣告的活跃 CIDR 段，再逐段封禁，同时留好白名单和日志兜底。
一、识别真正高风险的 ASN
别凭印象封 ASN。重点筛查三类信号叠加的编号：
- 被 AbuseIPDB、VirusTotal 等至少两个威胁情报平台标记为“恶意 IP 集中地”
- 归属类型是数据中心（Data Center）、云厂商（Cloud Provider）或匿名代理（Anonymizer）
- 你自己的访问日志里，该 ASN 下多个不同 /24 子网在 1 小时内发起超 200 次失败登录或扫描行为
实测显示，不到 0.3% 的 ASN 承载了过半的撞库与 DDoS 流量，集中筛查效率最高。
二、获取该 ASN 真实有效的 IP 段
ASN 只是编号，必须查它当前广播的 CIDR 地址块。推荐用 RIPEstat（https://www.php.cn/link/8d8ab22b5c1096d6806bece836a2d0b5）或 IPinfo.io API：
- 输入 ASN 编号（如 AS16276），获取全部 IPv4/IPv6 段及 last_updated 时间
- 剔除 status 为 “inactive” 或 last_updated 超过 90 天的段
- 示例：AS16276（OVH）返回几十个段，但只有 185.10.10.0/24、145.239.0.0/16 等十余个是活跃且近期更新的
三、用 iptables 安全封禁 CIDR 段
每一段都要单独加规则，不能合并；操作前务必确认环境安全：
- 封禁命令统一用：iptables -A INPUT -s 185.10.10.0/24 -j DROP
- 只作用于 filter 表的 INPUT 链（处理入站），别误用 FORWARD 或 OUTPUT
- 执行前检查默认策略：iptables -L INPUT -n | head -3，确保 policy 是 ACCEPT
- 封完立即保存（CentOS 7+）：service iptables save 或 iptables-save > /etc/sysconfig/iptables
- 建议加 LOG 前置记录：iptables -A INPUT -s 145.239.0.0/16 -j LOG --log-prefix "ASN-BLOCK:"，再接 DROP
四、上线后必须做的三件事
封禁只是开始，持续运维才能稳住效果：
- 监控命中率：用 iptables -L INPUT -v -n | grep DROP 查各段拦截计数，长期零命中需复核段有效性
- 设白名单兜底：把运维、CDN、合作伙伴等关键 ASN 或 IP 段放在 DROP 规则之前，避免误伤
- 定期更新列表：恶意 ASN 的宣告段会动态变化，建议每两周用 RIPEstat 重新拉取并比对新增/失效段
