有没有办法通过 UFW 优雅地屏蔽所有来自中国的访问？

[dangyuluo]

最近有一台北京的 Ubuntu 服务器，提供了某种服务，目标对象是国外用户，因此想屏蔽掉所有国内的访问。

我目前的方法是：

wget http://www.ipdeny.com/ipblocks/data/countries/cn.zone
while read line; do sudo ufw deny from $line to any port 1984; done < cn.zone

但是这样得话就有 7000+的 UFW 规则，我个人有种感觉就是会大大拖慢其余正常请求的速度（如 80 ），毕竟会对者 7000 条逐条匹配。iptables 同理。（也可能不影响效率，是我臆想出来的）

不知道有没有更优雅的办法呢？谢谢大家。

[webjin1]

linux 黑洞路由命令
net-tool 用法
route add -host 10.10.0.1 127.0.0.1 -blackhole
iprouter2 用法
$ ip route add blackhole 192.168.32.128/32

[supermaxisme]

iptables 关于规则的匹配不是逐条比对，

[JackBlack2006]

好像是叫 Geo IP 来着，碰到过一个外国软件官网就是这样屏蔽 TC 大陆 IP 的

This site is not available.

Block reason: Gateway GEO-IP Filter Alert

IP address: 删除

Connection initiated from country: China

[lee015]

把中国 ip 段加 ipset 里，直接 iptables 按 ipset reject 掉。参考 ss-rule 代理中国 ip 之外的所有 ip。
中国 ip 段这样取的： https://gist.github.com/jackytang/3c50a376535710aa6f33

[dangyuluo]

@ETiV 不是 http 服务，是的话就容易了。

[lzhr]

检测用户系统语言？

[knightlhs]

智能 DNS 海外来源访问给正确 ip 地址 国内访问 给错误 ip 地址不就行了？
费劲的研究啥防火墙 研究 iptables 干嘛？ 走错路了

[dangyuluo]

@knightlhs 你这番话让我想起了一个故事：某个工厂雇佣了好几个博士，投资了几百万美元就是为了开发一套系统来分拣出空箱子。中国老板则很“聪明”地在流水线旁边放了一个大风扇把空箱子吹走。
结果是第一个老板通过开发积累了经验，得到了更加自动化的生产流程技术。第二个老板则只是图走捷径，到最终也只是一个加工者。

@lzhr 不是 http 服务，语言的方法不太可行。

[dangyuluo]

@knightlhs 至于为什么不能用现有的智能 NameServer 服务，原因再简单不过了，不是所有设备和软件都提供域名支持的。

[d847198075]

@knightlhs Good!

[CasparLi]

@QAPTEAWH 哈哈哈 这个办法可以

[sobigfish]

好像 Cloudflare 可以直接黑名单 https://support.cloudflare.com/hc/en-us/articles/217074967-How-do-I-control-access-to-my-site-

[onion83]

iptables -I INPUT -m geoip -src-cc CN -j DROP

[d3js]

7000+ 没啥问题吧… 别低估了 Linux 的性能

[Admstor]

DNS 也是一种方法
不过如果对方不是通过 DNS 解析得到了 IP,那就没用了
这与本机做屏蔽也不矛盾,都可以用起来