服务器资讯

一、IP 地理位置数据库选型与获取

1. MaxMind GeoLite2（免费版）

• 特点：广泛使用的免费数据库，提供国家与 IP 的映射关系，精度满足多数场景需求，每周更新。

• 安装步骤：

  bash

  # 下载数据库wget https://geolite.maxmind.com/download/geoip/database/GeoLite2Country.tar.gz# 解压并移动到指定目录tar zxvf GeoLite2Country.tar.gzmv GeoLite2Country_*/GeoLite2Country.mmdb /usr/local/share/GeoIP/

  
  

2. MaxMind GeoIP2（商业版）

• 特点：精度更高（支持城市级定位），支持每小时更新，适合对准确性要求严格的企业级场景。

• 实时获取方式：通过 API 查询 IP 所属国家：

  bash

  curl -s "https://api.maxmind.com/geoip/v2.1/country/1.1.1.1?pretty" \
    -u "USER_ID:LICENSE_KEY"

  
  （需替换USER_ID和LICENSE_KEY为注册后获取的凭证）

3. 区域互联网注册机构（RIR）数据

• 特点：提供原始 IP 分配数据（如 APNIC、ARIN 等），适合需要自主维护 IP 清单的场景。

• 示例（获取中国 IPv4 地址段）：

  bash

  # 下载APNIC最新数据wget ftp://ftp.apnic.net/pub/stats/apnic/delegated-apnic-latest# 提取中国IPv4段并转换为CIDR格式grep '|CN|ipv4' delegated-apnic-latest | awk -F'|' '{print $4 "/" 32-log($5)/log(2)}' > cn_ips.txt

  
  

二、防火墙层拦截方案

1. iptables 配置（以屏蔽中国 IP 为例）

• 步骤 1：创建 IP 集合（高效管理大量 IP 段）

  bash

  ipset create cn_ips hash:net  # 创建基于网络段的哈希集合

  
  

• 步骤 2：导入 IP 段到集合

  bash

  while read line; do
    ipset add cn_ips $line  # 从文件导入中国IP段done < cn_ips.txt

  
  

• 步骤 3：设置拦截规则

  bash

  # 拦截来自中国IP的入站请求iptables -I INPUT -m set --match-set cn_ips src -j DROP# 拦截来自中国IP的转发请求iptables -I FORWARD -m set --match-set cn_ips src -j DROP

  
  

• 关键参数优化：

• hashsize：根据 IP 数量调整（默认 1024，IP 段超过 1 万时建议设为 4096）；

• maxelem：设置最大容量（如maxelem 1000000支持百万级 IP 段）；

• timeout：动态 IP 过期时间（建议86400秒即 24 小时自动清理）。

2. nftables 方案（性能更优）

table inet filter {
  set cn_ips {
    type ipv4_addr  # 支持IPv4地址
    flags interval  # 支持IP段区间匹配
    elements = { 1.0.1.0/24, 1.0.2.0/23, ... }  # 中国IP段列表
  }
  chain input {
    type filter hook input priority 0;  # 入站流量拦截
    ip saddr @cn_ips drop  # 匹配cn_ips集合的IP直接丢弃
  }}

三、Web 服务器级拦截方案

1. Nginx 配置（需安装ngx_http_geoip_module）

• 步骤 1：加载 GeoIP 模块并指定数据库

  nginx

  http {
    # 加载国家IP数据库
    geoip_country /usr/local/share/GeoIP/GeoLite2Country.mmdb;
    
    # 定义需要屏蔽的国家（CN=中国，RU=俄罗斯）
    map $geoip_country_code $block_country {
      default 0;  # 默认不屏蔽
      CN 1;       # 屏蔽中国IP
      RU 1;       # 屏蔽俄罗斯IP
    }
    
    server {
      # 对屏蔽国家的IP返回403禁止访问
      if ($block_country) {
        return 403;
      }
    }}

  
  

• 性能影响：在 4 核服务器上，开启 GeoIP 检测后 QPS 从 12,000 降至 10,500，建议增加 10% 的硬件冗余。

2. Apache 配置（使用mod_geoip模块）

• 步骤 1：启用模块并配置数据库

  apache

  # 加载GeoIP模块
  LoadModule geoip_module modules/mod_geoip.so
  GeoIPEnable On  # 启用地理IP检测
  GeoIPDBFile /usr/local/share/GeoIP/GeoIP.dat  # 指定数据库路径
  
  # 配置屏蔽规则
  RewriteEngine On
  # 匹配中国（CN）和俄罗斯（RU）IP
  RewriteCond %{ENV:GEOIP_COUNTRY_CODE} ^(CN|RU)$
  RewriteRule ^(.*)$ - [F]  # 返回403禁止访问

  
  

四、CDN 与云平台方案

1. Cloudflare 配置

• 步骤 1：进入 Cloudflare 控制台，选择 “防火墙规则”→“创建规则”；

• 步骤 2：添加匹配条件：(ip.geoip.country eq "CN")（中国 IP）；

• 步骤 3：设置操作为 “Block”，并指定生效范围（全站点或特定路径，如/admin/*）。

2. AWS 方案（结合 WAF 与 CloudFront）

• 步骤 1：在 AWS WAF 中创建 Web ACL，添加 “地理匹配” 条件（Country codes: CN）；

• 步骤 2：将 Web ACL 关联到 CloudFront 分发或应用负载均衡器（ALB）；

• 步骤 3：配置 CloudFront 缓存策略，确保边缘节点优先拦截屏蔽 IP。

五、自动化维护与更新

1. 定期更新 GeoIP 数据库（crontab 示例）

# 每日凌晨3点更新GeoLite2数据库并重启Nginx0 3 * * * /usr/bin/curl -s "https://download.maxmind.com/app/geoip_download?edition_id=GeoLite2Country&license_key=YOUR_KEY&suffix=tar.gz" -o GeoLite2Country.tar.gz && tar xzf GeoLite2Country.tar.gz --strip-components=1 -C /usr/local/share/GeoIP/ && systemctl reload nginx

六、绕过检测的应对策略

1. 封锁常见代理端口：
   bash

   # 封锁OpenVPN端口（1194）iptables -A INPUT -p tcp --dport 1194 -j DROP
   iptables -A INPUT -p udp --dport 1194 -j DROP

   
   

2. 深度包检测（DPI）识别代理协议：
   bash

   # 通过nftables识别特定协议特征（示例：拦截某VPN协议特征码）nft add rule inet filter input tcp dport 443 tcp payload @ 0,16 0x1352148815254781952 drop

   
   

3. 结合 IP 信誉数据库：
   使用 AbuseIPDB API 检查 IP 是否为恶意节点：
   bash

   curl -s https://api.abuseipdb.com/api/v2/check \
     -d "ipAddress=1.1.1.1" \
     -H "Key: YOUR_API_KEY" \
     -H "Accept: application/json"

   
   

   响应中可通过isTor（是否为 Tor 节点）或abuseConfidenceScore（滥用评分）辅助判断。
4. 行为模式分析（Fail2ban 配置）：
   识别异常访问行为（如高频请求 admin 路径）并拦截：
   ini

   # /etc/fail2ban/jail.d/geoblock.conf[geoblock]enabled = truefilter = geoblockaction = iptables-allports[name=GeoBlock]logpath = /var/log/nginx/access.logmaxretry = 5  # 10分钟内超过5次触发拦截findtime = 600

   
   

   自定义过滤器：
   ini

   # /etc/fail2ban/filter.d/geoblock.conf[Definition]failregex = ^<HOST>.*"GET /admin/.*  # 匹配访问/admin路径的IP

   
   

七、性能优化与测试

1. 压力测试工具验证

# 模拟60秒内每秒1000次请求，测试拦截效果echo "GET http://target.com" | vegeta attack -duration=60s -rate=1000 | tee results.bin | vegeta report

2. 关键指标要求

• 拦截准确率：>99.99%（确保目标国家 IP 被有效拦截）；

• 误封率：<0.001%（避免正常用户被错误拦截）；

• 延迟影响：新增规则后请求延迟增长不超过 5ms。

3. 硬件级加速方案

• DPDK 技术：绕过内核直接操作网卡，提升网络吞吐能力；

• 智能网卡：在网卡层面执行过滤规则，减少 CPU 占用；

• eBPF：在内核层实现快速 IP 匹配，降低拦截延迟。

八、法律合规与隐私保护

1. GDPR 合规：若业务涉及欧盟用户，需在网站明确告知地理封锁策略（如 “基于业务需求，本服务暂不向中国地区用户提供”）。

2. 数据留存：访问日志保存不超过 30 天，避免违规存储用户数据。

3. 豁免机制：设置申诉通道（如邮箱或表单），处理误封情况（如海外分支机构 IP 被误拦截）。

4. 审计记录：保留规则变更历史至少 180 天，以备合规检查。

总结