2020年，最新NGINX的ngx_http_geoip2模块以精准禁止特定国家或者地区IP访问

1.0 geoip2核心识别库

安装geoip2 lib步骤：

cd /usr/local/src
rm -f libmaxminddb-1.4..tar.gz
wget https://github.com/maxmind/libmaxminddb/releases/download/1.4.2/libmaxminddb-1.4.2.tar.gz
tar -xzf libmaxminddb-1.4..tar.gz
cd libmaxminddb-1.4.
yum install gcc gcc-c++ make -y
./configure
make
make check
sudo make install

echo '/usr/local/lib' > /etc/ld.so.conf.d/geoip.conf
sudo ldconfig

2.0 下载ngx_http_geoip2_module 模块

cd /usr/local/src
wget https://github.com/leev/ngx_http_geoip2_module/archive/3.3.tar.gz
tar -xzf 3.3.tar.gz
mv ngx_http_geoip2_module-3.3 ngx_http_geoip2_module 

nginx集成步骤：

cd /usr/local/src
wget http://nginx.org/download/nginx-1.16.1.tar.gz
tar -zxf nginx-1.16..tar.gz
cd nginx-1.16.1
useradd -M -s /sbin/nologin www

yum install gcc gcc-c++ make pcre-devel zlib-devel openssl-devel -y
./configure --user=www --group=www --prefix=/usr/local/nginx \
--with-ld-opt="-Wl,-rpath -Wl,/usr/local/lib" \
--with-http_sub_module \
--with-http_realip_module \
--with-http_gzip_static_module \
--with-http_ssl_module \
--with-http_v2_module \
--add-module=/usr/local/src/ngx_http_geoip2_module

make
make install

geoip2 IP地址库下载：

2020年最新GeoLite2-City.mmdb 无法直接下载，必须注册maxmind账号

. 需要在maxmind 后台注册账号，并且生成Account/User ID 和 License key
. 安装geoipupdate, 下载地址https://github.com/maxmind/geoipupdate/releases
. 配置geoipupdate的GeoIP.conf , 填写maxmind账号的User ID 和 License key 和 EditionIDs

博主使用的是centos
安装如下
cd /usr/local/src/
wget https://github.com/maxmind/geoipupdate/releases/download/v4.2.0/geoipupdate_4.2.0_linux_amd64.rpm
rpm -ivh geoipupdate_4..0_linux_amd64.rpm
rpm -ql geoipupdate
vi /etc/GeoIP.conf
#填写AccountID XXXX
#填写LicenseKey XXXX
#EditionIDs可以不修改，系统默认有填 GeoLite2-Country GeoLite2-City
#笔者EditionIDs只保留GeoLite2-City
#保存退出

运行geoipupdate
/usr/bin/geoipupdate
cd /usr/share/GeoIP/
会看到GeoLite2-City.mmdb
把GeoLite2-City.mmdb文件cp到需要使用的目录
sudo mkdir -p /usr/local/nginx/geoip/
\cp -rf /usr/share/GeoIP/GeoLite2-City.mmdb /usr/local/nginx/geoip/maxmind-city.mmdb

注意GeoLite2 City 和GeoLite2 Country 两个IP库，请下载City的mmdb数据文件，较于其他两者信息更丰富

nginx 配置geoip2 样例，geoip2的配置字段在http

http {
    ...
geoip2 /usr/local/nginx/geoip/maxmind-city.mmdb {
    $geoip2_data_country_code default=US source=$remote_addr country iso_code;
    $geoip2_data_country_name country names en;
    $geoip2_data_city_name default=London city names en;
    $geoip2_data_province_name subdivisions  names en;
    $geoip2_data_province_isocode subdivisions  iso_code;
}
    ....

    fastcgi_param COUNTRY_CODE $geoip2_data_country_code;
    fastcgi_param COUNTRY_NAME $geoip2_data_country_name;
    fastcgi_param CITY_NAME    $geoip2_data_city_name;
    ....
}

stream {
    ...
geoip2 /usr/local/nginx/geoip/maxmind-city.mmdb {
    $geoip2_data_country_code default=US source=$remote_addr country iso_code;
    $geoip2_data_country_name country names en;
    $geoip2_data_city_name default=London city names en;
    $geoip2_data_province_name subdivisions  names en;
    $geoip2_data_province_isocode subdivisions  iso_code;
    }
    ...
}

nginx配置中的变量名如，geoip2_data_country_code,geoip2_data_country_name 等等，都是自定义的名称，可以加在日志字段中

3.0 在nginx 中配置黑名单国家的变量 $blacklist_country

在http{} 字段，任何include之前，添加如下配置

[...]
    map geoip2_data_country_code $allowed_country {
        default yes;
        US no;
        JP no;
        SG no;
    }
[...]

以上配置将允许所有的国家，除了美国，日本，和新加坡 （您可以查看所有国家代码的列表，点这里）

相反的，如果你想阻止所有国家，除了少数几个国家可以访问，请参考如下的配置

[...]
    map geoip2_data_country_code $allowed_country {
        default no;
        CN yes;
        HK yes;
        US yes;
    }
[...]

现在，你做了如上配置，并不会阻止任何的国家，那只是设置了一个变量$allowed_country
想要实际阻止国家/地区，必须修改vhost的配置
把下面的代码放到server{}字段, 这个代码也可以放到location{}字段

[...]
        if ($allowed_country = no) {
            return 403;
        }
[...]

任何从黑名单国家的用户访问，都会收到403错误代码，

修改完配置，不要忘记reload nginx

/usr/local/nginx/sbin/nginx -s reload

4.0 通过如下命令可以直接本地查询IP信息

如

/usr/local/bin/mmdblookup --file /usr/local/nginx/geoip/maxmind-city.mmdb --ip 8.8.8.8

会出来许多信息，用json格式展示

  {
    "country":
      {
        "geoname_id":
           <uint32>
        "iso_code":
          "US" <utf8_string>
        "names":
          {
            "de":
              "USA" <utf8_string>
            "en":
              "United States" <utf8_string>
          }
      }
  }

如果IP 后面可以跟不同的查询，如下面查询了国家的英文名

/usr/local/bin/mmdblookup --file /usr/local/nginx/geoip/maxmind-city.mmdb --ip 8.8.8.8 country names en
  "United States" <utf8_string>