| 加固项 | 来源范围收敛 |
|---|---|
| 适用平台 | Linux（xtables-addons/ipset）/云 WAF |
| 风险等级 | 低 |
| 基线 | 拒绝规则有业务依据 |
ipset 承载国家级网段（示例：加载 CN 网段后拒绝其他来源）
ipset 承载国家级网段（示例：加载 CN 网段后拒绝其他来源）
ipset create cn hash:net
while read net; do ipset add cn "$net"; done < /etc/cn-aggregated.zone
iptables -I INPUT -p tcp --dport 443 -m set ! --match-set cn src -j DROP地域封禁可能挡住海外用户与爬虫友好的搜索引擎，启用前与业务方确认客群范围并留存评审记录。