最有效的是组合策略而非单靠“禁止海外访问”开关：Nginx防火墙实时识别扫描行为并自动封禁、ipset批量封禁高频攻击IP段、地域规则兜底；因该开关依赖滞后的静态IP库，误判率高且无法防御代理跳板等新型攻击。

直接封禁国外IP段最有效，但不能只靠“禁止海外访问”开关——它依赖静态IP库，更新滞后、误判率高，且对新型扫描器几乎无效。真正起作用的是组合策略：Nginx防火墙实时识别扫描行为 + ipset批量封禁高频攻击源 + 地域规则兜底。

为什么“禁止海外访问”开关不能单独依赖

宝塔的“禁止海外访问”（在Nginx防火墙插件全局设置中）本质是匹配MaxMind旧版GeoLite IP段数据库，不是实时查库。实际中常见问题包括：

• 新注册的境外VPS IP未收录，扫描持续数小时才被识别
• 部分东南亚、港澳IP被错误归类为“海外”，导致真实用户403
• 该功能仅拦截HTTP/HTTPS流量，SSH、FTP、Redis等端口完全不受影响
• 一旦攻击者用国内代理池或跳板机，整套地域逻辑就失效

所以它适合做辅助策略，不能当主力防线。

用Nginx防火墙识别并自动封禁扫描IP

这是最贴近实战的防御层，靠分析/www/wwwlogs/access.log里的真实请求模式，不看IP属地，只看行为。关键配置点：

• 进宝塔 → 软件商店 → 确认已安装「Nginx免费防火墙」（仅专业版支持）
• 首页底部点击盾牌图标进入插件 → 顶部开关必须为「已开启」
• 左侧「规则管理」→ 开启所有带「扫描」字样的规则，动作必须设为拦截，不是记录
• 左侧「黑名单设置」→ 勾选「开启自动封禁」，单位时间内触发次数设为5，封禁时长填86400
• 手动加一条防绕过规则：^/.*\.(env|bak|swp|git|zip|sql)$，类型选URL过滤，优先级调到1

验证是否生效：执行iptables -L f2b-nginx-scan -n，看到REJECT行且有IP列表，说明自动封禁链已激活。

用ipset批量封禁已确认的攻击IP段

当发现某C段（如203.0.113.0/24）连续扫后台路径，用iptables逐条加规则会拖慢性能；ipset才是正确解法：

• 创建集合：ipset create attack-cidr hash:net
• 添加网段：ipset add attack-cidr 203.0.113.0/24
• 绑定iptables：iptables -I INPUT -m set --match-set attack-cidr src -j DROP
• 持久化保存（Debian/Ubuntu）：ipset save attack-cidr > /etc/ipset.conf
• 开机加载：在/etc/rc.local里加一行ipset restore

注意：hash:net支持IP段，hash:ip只支持单IP；别漏掉-I（插入开头），否则规则可能被其他链覆盖。

最后补一刀：用系统防火墙+云安全组双层兜底

前面两层都防应用层，这一步防网络层——尤其针对SYN Flood、端口扫描等非HTTP攻击：

• 宝塔「安全」页 → 确保「系统防火墙」已启动 → 在「IP黑名单」里粘贴已知攻击C段（如192.168.10.0/24）
• 立刻登录云厂商控制台（阿里云/腾讯云）→ 找到对应ECS的安全组 → 编辑「入方向规则」→ 添加一条规则：源地址填0.0.0.0/0，协议端口填tcp:22，策略选拒绝，描述写“阻断境外SSH爆破”
• 再加一条更宽的：源地址=ipset:attack-cidr（若云平台支持）或直接填常用攻击段（如185.155.0.0/16）

真正的难点不在配置，而在于持续运营：IP库要每周手动点「更新IP池」，ipset列表要结合awk日志分析脚本定期清理老化条目，否则半年后规则膨胀到上千条，反而拖慢整个iptables遍历速度。