服务器日志里突然多出几万条来自荷兰、快速巴西、屏蔽越南的国外请求，CPU 占用率飙到 97%。快速别急着加带宽，屏蔽也别傻乎乎地一个个封 IP——那玩意每秒钟都在变。国外真正有效的快速办法，是屏蔽在防火墙层面把整个国家的地理位置直接划掉。

我用的国外是 Nginx 加 GeoIP2 模块，配合 MaxMind 的快速免费数据库。装好之后，屏蔽nginx.conf 里加几行判断，国外就能让来自特定国家的快速访问直接返回 403。代码长这样：

if ($geoip2_data_country_code = "NL") {  return 403; } if ($geoip2_data_country_code = "BR") {  return 403; } if ($geoip2_data_country_code = "VN") {  return 403; }

配置完 reload 一下，屏蔽效果立竿见影。国外攻击流量瞬间清零，CPU 掉回 5%。这招对恶意爬虫、CC 攻击、撞库尝试都管用，因为这些攻击大多来自海外僵尸网络。

但光靠 Nginx 不够。如果攻击者直接打你源站 IP，绕过 CDN 和 Nginx，那这些规则就形同虚设。真正的防线应该在系统层面——用 iptables 配合 xt_geoip 模块，在内核层面直接丢包。这样连 Nginx 的日志都不会产生，省下的资源不是一点半点。

操作也不复杂。先安装 xtables-addons，然后下载 GeoIP 数据库到 /usr/share/xt_geoip/，最后加规则：

iptables -A INPUT -m geoip --src-cc NL,BR,VN,RU,UA -j DROP iptables -A INPUT -m geoip --src-cc KP,IR,CU,SY -j DROP

注意顺序。DROP 规则要放在 ACCEPT 之前，不然白搭。另外别把美国、日本、新加坡全封了——如果你的用户里有海外华人或者用了国际 CDN，那会误伤一大片。我见过有人图省事，把整个欧洲都屏蔽了，结果自家在德国的合作伙伴打电话来问网站怎么打不开了。

还有个坑：MaxMind 的免费数据库精度有限，有些 IP 段会误判。比如某些香港的 VPS 会被标记成美国，某些新加坡的 IP 会变成澳大利亚。所以封完国家之后，一定要留个白名单机制。我的做法是单独放行几个已知的合法 IP：

iptables -I INPUT -s 203.0.113.0/24 -j ACCEPT

这条规则要插在最前面，确保白名单优先于黑名单。

日常维护也别落下。GeoIP 数据库每月更新一次，建议写个 cron 任务自动拉取。不然三个月后，那些僵尸网络换了新 IP 段，你的规则就成摆设了。

最后说个实战细节。封完国家之后，别忘了检查 Cloudflare 或阿里云盾的配置。很多攻击是直接打到 CDN 节点上的，源站防火墙根本看不到。这时需要在 CDN 管理后台也设置区域封锁，双重保险才稳。

这套组合拳打下来，海外恶意流量基本能挡掉九成。剩下的漏网之鱼，靠 fail2ban 盯 SSH 登录就够用了。至于那些说“屏蔽国外 IP 影响 SEO”的论调——Google 爬虫用的是美国 IP，你只要不封美国就行。百度爬虫在国内，更无所谓了。