结论：用geoip2模块+MaxMind的GeoLite2-Country.mmdb是当前最可靠、可维护的方式；但必须确认Nginx版本≥1.18且已编译ngx_http_geoip2_module，否则配置无效或启动失败。
直接说结论：用 geoip2 模块 + MaxMind 的 GeoLite2-Country.mmdb 是当前最可靠、可维护的方式；但必须确认 Nginx 版本 ≥ 1.18，且已编译 ngx_http_geoip2_module，否则会配置无效或启动失败。
检查 Nginx 是否支持 geoip2
运行 nginx -V 2>&1 | grep -o geoip2，如果输出为空，说明模块没加载。别急着改配置——geoip2 指令在未启用模块时会导致 nginx -t 报错：unknown directive "geoip2"。
常见误区是以为装了 libmaxminddb 就够了，其实只是依赖库，Nginx 本身必须带模块。CentOS/RHEL 默认源的 Nginx 几乎都不含该模块；Ubuntu 的 nginx-full 包才可能包含（需 apt install nginx-full 并验证）。
- 查已编译模块：
nginx -V输出里找--add-module=...ngx_http_geoip2_module - 若无，得重新编译 Nginx：下载源码 +
./configure --add-dynamic-module=/path/to/ngx_http_geoip2_module+make（不要 make install，替换二进制文件即可） - 动态模块可加载：编译后生成
objs/ngx_http_geoip2_module.so，再在nginx.conf的http块顶部加load_module /path/to/ngx_http_geoip2_module.so;
正确配置 geoip2 获取国家代码
geoip2 必须配合 MaxMind 官方的 GeoLite2-Country.mmdb（不是旧版 GeoIP.dat），且路径要绝对、可读。配置写错位置或变量名，$geoip2_data_country_code 就一直是空字符串，if 判断永远失效。
关键点：
- 数据库文件必须从 MaxMind 官网注册下载（免费但需账号），不能用第三方镜像或旧版 dat 文件
-
geoip2指令必须放在http块内、所有server之前，且只能出现一次 - 变量名要严格匹配：
$geoip2_data_country_code（下划线、大小写、后缀都不能错） - 示例配置：
http {
geoip2 /etc/nginx/geoip/GeoLite2-Country.mmdb {
$geoip2_data_country_code country iso_code;
}
<pre class="brush:php;toolbar:false;">server {
listen 80;
server_name example.com;
if ($geoip2_data_country_code != "CN") {
return 403;
}
# 其余 location...
}
}
为什么不用 APNIC 黑名单脚本？
APNIC 数据生成的 deny 1.2.3.0/24; 规则看似简单，实际问题很多：IPv6 支持差、CIDR 精度粗（/24 误杀严重）、每日更新需 cron 维护、且无法区分“海外用户”和“海外 CDN 回源 IP”。更麻烦的是，deny 在 http 块里全局生效，容易把健康检查、监控探针一起干掉。
真实场景中，你大概率会遇到：
- Cloudflare 或阿里云全站加速的回源 IP 来自美国，被误封导致静态资源 404
- 某些国内运营商出口 NAT 池 IP 被 APNIC 归类为海外，用户白屏
-
deny all写错顺序（比如放在allow前），整站 500
所以除非你有专职运维盯日志、能人工校验每条 CIDR，否则不建议用纯 IP 黑名单方式。
测试与 reload 的关键动作
改完配置别直接 systemctl reload nginx。先做三件事：
- 执行
nginx -t—— 不仅看语法，还要确认geoip2模块加载成功、数据库路径可读（错误提示如open() "/etc/nginx/geoip/GeoLite2-Country.mmdb" failed (13: Permission denied)） - 用
curl -H "Host: example.com" http://localhost/本地测，避免 DNS 和 CDN 干扰 - 真正验证要用真实海外 IP：开手机热点切到境外网络，或用
curl -x socks5://127.0.0.1:1080 https://example.com（配好代理）；别信在线 IP 查询网站，它们返回的 HTTP 头可能被 CDN 缓存
最后提醒一句：if 在 location 里用没问题，但在 server 根层级大量使用 if 可能影响性能——不过对国家判断这种单次 lookup，影响微乎其微。真正容易被忽略的是 auto_reload 5m 参数：它让 Nginx 每 5 分钟自动重载数据库，但如果你手动替换了 .mmdb 文件却没触发 reload，新 IP 归属就还是旧的。
