iptables-ipset仅允许国内访问---端口白名单

前言：

境外肉鸡攻击有点多，并业务无境外访问需求，IDC机房网络防火墙无法实现8K多条的china大陆地址导入；为实现仅china大陆地址访问，在业务端口如这里的80，使用iptables防火墙+ipset过滤实现访问控制,对于访问量不大的业务可考虑使用。

如需简单快捷的方式，搜本博“以错误路由方式禁止境外IP来访”篇 (缺点：主机也无法主动请求境外目标了)

创建ipset得到的备份文件，便于批量添加8k条地址

创建一个ipset

ipset create whitelist hash:net maxelem 1000000

加入一个名单ip

ipset add whitelist 9.9.9.9

查看已经ipset配置内容

ipset list

Name: whitelist
Type: hash:net
Revision: 3
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 16816
References: 0
Members:
9.9.9.9

将ipset规则保存到文件

ipset save whitelist -f whitelist.txt

查看备份内容

more whitelist.txt

create whitelist hash:net family inet hashsize 1024 maxelem 1000000
add whitelist 9.9.9.9