如何禁止国外IP访问主机？怎么设置及步骤详解

随着网络攻击日益全球化，来自国外的恶意扫描、暴力破解和非法入侵已成为服务器安全的重大威胁。限制国外IP访问不仅能有效减少攻击面，还能降低服务器资源消耗，避免合规风险。特别是对于仅面向国内用户的服务，这一措施能显著提升主机的安全性和稳定性。

使用防火墙屏蔽国外IP段

通过防火墙封禁国外IP地址是最直接有效的方法。以Linux系统的iptables为例，可以通过添加规则批量封禁特定国家的IP段：

• 安装ipset工具：apt-get install ipset（Ubuntu/Debian）
• 创建国家IP集：ipset create ban_countries hash:net
• 下载中国IP段并添加至白名单，然后封禁其他所有流量

Windows系统可通过高级安全防火墙，使用“新建规则”功能，选择“自定义规则”并指定要阻止的IP范围。

通过云服务商安全组配置

主流云平台均提供安全组功能，可快速实现IP过滤：

• 阿里云：登录ECS控制台，进入安全组配置，添加规则仅允许中国大陆IP访问
• 腾讯云：在安全组中设置入站规则，源地址填写国内IP段（如1.0.1.0/24）
• AWS：通过Security Group的Inbound Rules，添加Custom协议并指定中国IP范围

使用Nginx地理限制模块

对于Web服务，可通过Nginx的geoip模块实现基于国家的访问控制：

# 在nginx.conf中配置
geoip_country /usr/share/GeoIP/GeoIP.dat;
map $geoip_country_code $allow_access {
default no;
CN yes;

然后在server段中添加判断：若$allow_access = no则返回403状态码。

Fail2ban动态封禁策略

Fail2ban可作为辅助手段，自动封禁多次尝试登录的国外IP：

• 安装Fail2ban：yum install fail2ban
• 创建配置文件/etc/fail2ban/jail.local
• 设置maxretry为3，bantime为3600，并配合ipset使用

综合安全方案与注意事项

在实际部署时，建议采用多层次防护策略：

重要提醒：实施前务必确保自身IP不在封禁范围内，并提前设置好管理端口的例外规则，避免被锁定在服务器之外。