Nginx stream模块原生不支持geo指令，需通过nginx-module-geoip2加载GeoIP2数据库提取国家码，再用map指令构建黑白名单，最后用return $var 403实现四层地理访问控制。
nginx 的 stream_geo 模块本身并不存在——这是常见误解。Nginx 官方 stream 模块（用于 TCP/UDP 四层代理）**不支持 geo 指令**，geo 仅在 http 上下文中可用，用于七层（HTTP）场景。
要在四层（如 MySQL、Redis、SMTP、自定义 TCP 服务）转发中实现基于地理位置的黑白名单，需借助外部手段补足 IP 地理信息，再通过 stream 模块的变量和映射能力间接实现。以下是可行、生产验证过的方案要点：
用 GeoIP2 数据库 + nginx-module-geoip2 实现 IP 归属识别
虽然原生 stream 不支持 geo，但可通过第三方模块 nginx-module-geoip2 在 stream 块中读取二进制 GeoIP2 数据库（如 GeoLite2-Country.mmdb），提取国家码、地区等字段，并存入变量：
- 编译 Nginx 时需添加
--add-dynamic-module=/path/to/nginx-module-geoip2 - 在
stream块中配置：geoip2 /usr/share/GeoIP/GeoLite2-Country.mmdb { $geoip2_data_country_code source=$remote_addr country iso_code; } - 该配置使变量
$geoip2_data_country_code在 stream 上下文中可用，值为类似CN、US的 ISO 国家码
用 map 构建黑白名单映射表
利用 stream 中的 map 指令，将地理标识（如国家码）映射为允许/拒绝标记，支持通配、列表和正则：
- 定义白名单国家（只允许 CN 和 JP 连接后端）：
map $geoip2_data_country_code $allowed { default 0; CN 1; JP 1; } - 或黑名单方式（禁止 RU、KP、IR）：
map $geoip2_data_country_code $blocked { default 0; RU 1; KP 1; IR 1; } -
map支持 CIDR 写法（需配合geo模块的include，但注意：stream 中不可直接用geo；可先在 http 块预生成变量再透传，不推荐）
在 upstream 或 return 中执行访问控制
stream 不支持 if，但可通过 return 或条件式 proxy_pass 实现拦截：
- 最简拦截：连接匹配黑名单时立即断开
server { listen 3306; if ($blocked) { return 403; # ❌ stream 中 if 不合法！ } }→ 正确做法是用return配合 map 变量：server { listen 3306; return $blocked 403; # 当 $blocked=1 时返回 403 并关闭连接 proxy_pass backend; } - 更稳妥方式：仅对白名单放行，其余全部拒绝
server { listen 3306; if ($allowed = 0) { return 403; } proxy_pass backend; }→ 实际应改写为（避免 if）：server { listen 3306; return $allowed 403; proxy_pass backend; }（注意：return后续指令仍会执行，因此需确保return是唯一出口；建议用error_page+redirect或直接依赖return的终止语义）
补充建议与注意事项
实际部署中还需考虑以下关键点：
-
性能敏感：GeoIP2 查询是内存操作，但频繁调用仍影响吞吐；建议启用
shared memory zone缓存解析结果（模块默认已优化） -
IP 来源准确：四层中
$remote_addr是直连客户端 IP；若前端有 L4 负载均衡（如 AWS NLB、F5 SNAT），需开启proxy_protocol并配置set_real_ip_from+real_ip_header proxy_protocol获取真实源 IP -
数据更新机制：GeoLite2 免费库每月更新，需配套脚本自动下载 + reload nginx（
nginx -s reload） -
调试方法：用
log_format+access_log在 stream 块中记录$geoip2_data_country_code和$allowed，验证匹配逻辑
