目的：组织国外黑客攻击者对国内ip服务器的扫描和渗透。
所以需要中国的ip库，可以在 http://www.ipdeny.com/ 看各个国家的IP段。
方法：使用ipset和iptables做限制。
1、安装ipset
#Debian/Ubuntu系统
apt-get -y install ipset
#CentOS系统
yum -y install ipset
2、创建新规则
#创建一个名为cnip的规则ipset -N cnip hash:net
#下载国家IP段，这里以中国为例
wget -P . http://www.ipdeny.com/ipblocks/data/countries/cn.zone
#将IP段添加到cnip规则中
for i in $(cat /root/cn.zone ); do ipset -A cnip $i; done
3、设置IP段白名单
#放行IP段
iptables -A INPUT -p tcp -m set --match-set cnip src -j ACCEPT
#关掉所有端口
iptables -P INPUT DROP
注意：iptables -P INPUT DROP 这个会把不是国内访问的端口全部关掉
如果设置IP设置有误，有可能会把自己的IP也禁止掉，如果只是网站可以只禁用80和443端口
#关闭指定端口，比如80/443
iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -p tcp --dport 443 -j DROP
这样即使误操作了直接保存了，也不会造成自己ssh登不上去
4、保存iptables配置
service iptables save #将规则是保存在/etc/sysconfig/iptables文件里
5、添加额外IP白名单
添加完国内IP白名单后，如果有漏添加的造成一些用户无法访问，或者自己想让某一些IP可以访问，就可以额外的添加上去
1）找到 cn.zone 文件，打开（如果直接打开太慢，可以下载到本地在使用notpad++等编辑）在文件最后追加ip
2 )再执行一遍命令
for i in $(cat /root/cn.zone ); do ipset -A cnip $i; done
如果有重复报错可以忽略。