地域封禁是什么
地域封禁与 IP 信誉过滤属于粗粒度手段：业务只面向特定地区时，把非目标地区的来源或已知恶意地址段直接拒绝，能显著降低扫描与暴力尝试的噪音。它的价值在于降噪而不是精确防护，启用前要评估误伤范围与合规要求，并确定数据来源的更新与回滚方式。
基本信息
| 加固项 | 来源范围收敛 |
|---|---|
| 适用平台 | Linux（ipset、xtables-addons）、云 WAF、边界设备 |
| 风险等级 | 低 |
| 基线 | 拒绝规则有业务依据与评审记录 |
| 数据来源 | 国家网段库、商业信誉库、云厂商规则 |
典型使用场景
- 面向境内用户的服务：拒绝非目标区域的直接访问，降低扫描量
- 攻击处置期间：把已知恶意来源段加入拒绝集合，争取窗口期
- 登录接口前置过滤：减少暴力尝试总量，同时降低账号锁定误伤
- 灰度验证：先只记录命中分布，再决定是否全量启用
- 应急封禁：临时封禁与长期策略分开管理，到期自动清理
ipset 承载网段示例
ipset 承载网段示例
# 建立国家或地区网段集合
ipset create cn hash:net
while read -r net; do ipset add cn "$net"; done < /etc/cn-aggregated.zone
# 只放行集合内来源，其余丢弃（示例针对 443 端口）
iptables -I INPUT -p tcp --dport 443 -m set ! --match-set cn src -j DROP
# 更新与回滚：集合内容定期重建，规则可整体删除恢复原状手段与粒度
| 手段 | 粒度 | 注意事项 |
|---|---|---|
| 国家或地区网段 | 粗 | 移动网络与云出口常跨地域 |
| IP 信誉库 | 中 | 依赖订阅来源与更新机制 |
| 云 WAF 地域规则 | 中 | 由服务商维护，可快速回滚 |
| 手工封禁地址段 | 细 | 必须带到期时间，避免永久堆积 |
地域封禁可能挡住海外用户与搜索引擎爬虫：启用前与业务方确认客群范围并留存评审记录。
网段库需要定期更新：数据过期会持续误伤新分配的地址段，更新周期要与业务影响一起评估。