3 步彻底封杀国外 IP 恶意访问！还不用重新编译 Nginx

— 特色专栏 —

MySQL/PostgreSQL/MongoDB

ElasticSearch/Hadoop/Redis

Kubernetes/Docker/DevOps

Kafka/RabbitMQ/Zookeeper

监控平台/应用与服务/集群管理

Nginx/Git/Tools/OpenStack

大家好，我民工哥！

之前分享过一篇文章关于：如何用 Nginx 禁止国外 IP 访问网站。

这种方法是通过 NGINX 的 ngx_http_geoip2 模块来禁止国外 IP 访问网站，需要下载安装 geoip2 扩展依赖，添加 ngx_http_geoip2 模块，还得编译 Nginx 等一系统的操作。

今天，给大家介绍一个无需编译 Nginx 也能实现封禁国外 IP 方法。

这个方法就是通过使用亚太网络信息中心（APNIC）的官方 IP 数据，然后，配合 Nginx 原生功能实现精准拦截，非常方便。

废话不多说，直接上教程，三步操作即可：

1、获取中国IP段数据

APNIC 负责亚太地区IP地址分配，它的公开数据文件中记录了所有分配给中国大陆的 IP 地址段。

我们可以可通过以下方式获取最新数据：

访问 APNIC 官方统计页面(http://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest)，下载最新数据文件delegated-apnic-latest。

然后，通过使用脚本解析文件，提取中国IPv4和IPv6地址段，导入到指定的文件中，操作如下：

#!/bin/bash
wget -c http://ftp.apnic.net/stats/apnic/delegated-apnic-latest
cat delegated-apnic-latest | awk -F'|' '/CN/&&/ipv4/ {print $4 "/" 32-log($5)/log(2)}' > ipv4.txt
cat delegated-apnic-latest | awk -F'|' '/CN/&&/ipv6/ {print $4 "/" 32-log($5)/log(2)}' > ipv6.txt

2、将 IP 段导入 Nginx 配置

Nginx 原生支持通过 geo 指令实现基于 IP 的访问控制。

然后，我们结合APNIC数据，将中国IP段导入Nginx配置。

定义IP段变量：在Nginx配置文件的http块中，使用map指令定义中国IP段变量。

http {
    map $remote_addr $is_china_ip {
        default 0;
        #导入IPv4中国IP段
        include /path/to/ipv4.txt;
        #导入IPv6中国IP段（如需）
        include /path/to/ipv6.txt;
    }
}

注意：ipv4.txt和ipv6.txt需按Nginx map指令格式调整，每行一个IP段，如 10.0.0.1/24 1;。

3、配置 Nginx 拦截规则

在Nginx的server块中，根据$is_china_ip变量配置拦截规则。

允许中国IP访问，若需仅允许中国IP访问，配置如下。

server {
    listen 80;
    server_name example.com;

    # 允许中国IP访问
    if ($is_china_ip = 0) {
        return 403; # 非中国IP返回403禁止访问
    }

    # 其他配置...
}

拒绝中国IP访问，若需拒绝中国IP访问，将条件取反即可。

server {
    listen 80;
    server_name example.com;

    # 拒绝中国IP访问
    if ($is_china_ip = 1) {
        return 403; # 中国IP返回403禁止访问
    }

    # 其他配置...
}

定期更新IP数据：APNIC 分配的 IP 段可能变更，建议定期（如每天）执行第一步脚本，更新 IP 段数据，并重载 Nginx 配置。

# 更新IP段数据
./ip_update_script.sh

# 重载Nginx配置
nginx -s reload

对比其它IP封禁方案

关键对比维度说明

性能表现：ipset方案在处理大规模IP段时性能最优（支持10万+规则），原生allow/deny在规则数量多时性能下降明显。

自动化能力：Fail2ban和Nginx+Redis方案支持动态封禁，而原生allow/deny需手动维护。

精准度：geoip2模块支持国家/城市级精细控制，APNIC数据方案基于权威IP分配数据。

维护成本：原生方案维护成本低但扩展性弱，动态方案需额外组件支持但自动化程度高。

适用场景：小规模场景推荐原生allow/deny，大规模地理围栏推荐APNIC+ipset，动态攻击防护推荐Fail2ban或Nginx+Redis。

建议根据实际业务规模、运维能力及防护需求选择方案，并定期更新IP数据（如APNIC数据）以确保防护有效性。

结语

本文介绍的方案，无需第三方模块，纯原生实现降低运维复杂度。

通过依赖权威数据源，确保IP覆盖的准确性与时效性。

而且，性能损耗极低，适合高并发场景。

同样适用于需要快速部署地理围栏、合规性访问控制或防御境外攻击的场景，为Web服务提供轻量级、高可靠的IP级防护屏障。

都看到这里了，觉得不错的话，随手点个赞👍 、推荐