如何禁止VPS上的国外IP访问？

方法	适用系统	难度等级	效果评估
iptables防火墙	Linux	中级	精确控制
Fail2ban	Linux	初级	自动封禁
Cloudflare防火墙	所有系统	初级	基于CDN过滤
修改hosts文件	Windows/Linux	初级	基础屏蔽
配置nginx	Linux	高级	应用层控制

VPS禁止国外IP访问的完整指南

为什么要禁止国外IP访问？

出于安全考虑或业务需求，许多VPS用户需要限制仅允许特定国家/地区的IP访问。这可以有效减少恶意攻击、降低带宽消耗，并确保服务仅对目标用户开放。

五种主流方法详解

1. 使用iptables防火墙（Linux系统）

操作说明： iptables是Linux系统自带的防火墙工具，可以通过规则链实现IP过滤。 使用工具提示：

• 需要root权限
• 规则重启后不会自动保存，需配置持久化

# 禁止所有国外IP（示例：仅允许中国IP）
iptables -A INPUT -p tcp --dport 22 -m geoip --src-cc CN -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

2. 配置Fail2ban自动封禁

操作说明： Fail2ban可以监控日志文件，自动封禁多次失败的IP地址。 使用工具提示：

• 需要安装Fail2ban
• 可配置针对不同服务的规则

# /etc/fail2ban/jail.conf 示例配置
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

3. 使用Cloudflare防火墙

操作说明： 通过Cloudflare的防火墙规则，可以基于地理位置过滤流量。 使用工具提示：

• 需要域名接入Cloudflare
• 免费版已支持基础功能

# Cloudflare防火墙规则示例
(ip.geoip.country ne "CN") && (http.request.method ne "GET")

4. 修改hosts文件（基础方法）

操作说明： 通过解析国外域名到127.0.0.1实现基础屏蔽。 使用工具提示：

• 方法简单但效果有限
• 需要定期更新IP列表

# /etc/hosts 添加内容
127.0.0.1 example.com

5. 配置nginx应用层控制

操作说明： 在nginx配置中使用geo模块实现IP过滤。 使用工具提示：

• 需要nginx支持
• 配置灵活但复杂度高

http {
    geo $allowedcountry {
        default 0;
        123.456.789.0/24 1; # 中国IP段
    }
    
    server {
        if ($allowedcountry = 0) {
            return 403;
        }
    }
}

常见问题解决方案

问题现象	可能原因	解决方案
规则生效但国外IP仍可访问	规则顺序错误	检查iptables/nginx规则顺序
合法用户被误封	地理位置数据库不准确	更新GeoIP数据库
服务重启后规则丢失	未配置持久化	使用iptables-save保存规则
性能下降	复杂规则影响	优化规则复杂度
Cloudflare不生效	未正确接入	检查DNS解析状态

方法比较与选择建议

对于不同需求的用户，推荐以下方案组合：

• 安全优先：iptables + Fail2ban
• 简易操作：Cloudflare防火墙
• 精确控制：nginx geo模块
• 临时方案：修改hosts文件

实施前建议：

1. 备份现有配置
2. 测试规则效果
3. 设置白名单机制
4. 监控日志调整策略