Apache作为最主流的Web服务器之一，提供了丰富的模块来扩展功能，其中mod_geoip2可以让服务器在请求到达时识别出客户端IP对应的国家、省份甚至城市信息。基于这些地理数据，管理员能够编写规则，只允许某些国家的用户访问，或者屏蔽来自特定国家的请求，从而防御恶意爬虫、降低无效带宽消耗、满足合规要求。
一、mod_geoip2模块与MaxMind数据库基础
mod_geoip2是Apache的一个第三方模块，它并不直接内置在官方发行包中，而是依托MaxMind公司提供的GeoLite2或GeoIP2数据库工作。该数据库以二进制格式存储了IP段与地理属性的对应关系，模块在内存中加载后，可以快速查询每一个来访IP的国家代码，例如中国为CN，美国为US，日本为JP。
需要注意的是，从2019年起MaxMind要求用户注册账号并获取授权密钥才能下载免费的GeoLite2数据库，因此部署前应先在官网申请密钥。数据库分为国家库、城市库等，如果仅做国家级别限制，使用GeoLite2-Country库即可，体积较小且查询效率高。模块通过环境变量或请求头的形式把国家代码暴露给Apache配置，后续规则便可引用。
1.1 为什么选择国家级别限制
很多业务场景只需要粗略的地区控制。例如论坛只想对国内开放注册，或者下载站发现某国IP长期占用带宽却无转化，直接在国家层面拒绝是最省事的方案。相比城市或ASN级别的精细控制，国家代码稳定且数据库更新频率要求低，误操作概率小。
另外，国家代码由国际标准ISO 3166定义，长度固定为两位字母，在Apache表达式中书写简单，不容易因为格式问题导致规则失效。对于中小站点来说，先做好国家围栏，再逐步细化是一条稳妥的运维路线。
二、安装与基础配置步骤
在Debian或Ubuntu系统中，可以通过apt安装libapache2-mod-geoip2，但部分旧版仓库模块对应MaxMind旧协议，建议从源码或第三方仓库获取支持GeoIP2新格式的版本。CentOS用户则可使用yum install mod_geoip2，或编译Apache时启用该模块。安装后需在apache2.conf或httpd.conf中加载模块文件。
配置上，首先要用GeoIPDBFile指令指向本地的GeoLite2-Country.mmdb文件，并设置内存缓存模式。例如：GeoIPDBFile /path/GeoLite2-Country.mmdb MemoryCache。之后模块会自动设置环境变量GEOIP2_COUNTRY_CODE，我们在后续虚拟主机或目录配置中就能调用它。
2.1 下载与更新数据库
使用MaxMind提供的geoipupdate工具可以自动拉取数据库。在配置文件中填入账号ID和授权密钥，设定更新周期为30天。若手动下载，应把文件放到非公开目录，防止用户通过网址直接获取数据库造成信息泄露。
更新数据库时不必重启Apache，mod_geoip2支持在不中断服务的情况下重新读取文件，但建议通过优雅重载让新库生效。忽略更新会导致IP分配变动后识别错误，比如某些非洲国家段被重新划分，旧库仍标记为其他区域。
三、编写国家访问限制规则
Apache 2.4引入了If指令，可以基于表达式匹配环境变量。要拒绝非中国地区的访问，可在虚拟主机配置中加入如下内容：
<If "%{ENV:GEOIP2_COUNTRY_CODE} !~ /^(CN)$/">
Require all denied
</If>
这段规则的意思是当国家代码不是CN时，拒绝所有请求，返回403禁止访问。如果只想屏蔽某几个国家，可以把正则改为匹配特定代码，例如拒绝美国和俄罗斯：
<If "%{ENV:GEOIP2_COUNTRY_CODE} =~ /^(US|RU)$/">
Require all denied
</If>
3.1 允许列表与反向逻辑
有些站点采用白名单模式，即默认拒绝全部，仅放行少数国家。写法为先Require all denied，再用If指令对放行国家追加Require all granted。但要注意指令优先级，If内部的Require会覆盖外层，因此结构必须清晰，避免逻辑冲突导致全站无法访问。
还可以结合浏览器语言或特定路径做例外。例如对根目录限制国家，但放开 robots.txt 供搜索引擎抓取，可在Location块中单独设置不受GeoIP规则约束的段落，保证基础SEO不受影响。
四、常见问题与排查方法
配置完成后访问网站却未发现限制生效，首要检查模块是否真正加载。执行 apachectl -M | grep geoip2 可列出已启用的模块名。若为空，说明配置文件未被包含或模块路径错误。
其次要确认环境变量名称。不同版本模块可能使用GEOIP_COUNTRY_CODE或GEOIP2_COUNTRY_CODE，写错变量会导致表达式永远不成立。可以在页面中临时输出环境变量进行调试，确认访客IP被正确识别为国家代码。
| 现象 | 可能原因 | 处理办法 |
|---|---|---|
| 所有用户均被拒绝 | 数据库路径错误或为空库 | 检查mmdb文件权限与路径 |
| 限制完全不生效 | 变量名不匹配或If作用域错误 | 打印ENV变量并修正表达式 |
| 部分国家误判 | 数据库过旧 | 更新GeoLite2库后重载服务 |
4.1 性能与日志记录
开启MemoryCache后查询延迟极低，对高并发站点影响可忽略。若使用标准文件模式，每次请求都读盘则会明显下降。建议在日志格式中加入国家代码，方便后续统计流量来源，例如配置LogFormat引用 %{GEOIP2_COUNTRY_CODE}e 字段。
当规则复杂时，可先在测试环境用curl携带不同出口IP验证。借助代理或云函数切换国家，观察返回状态是否符合预期，再推送到生产环境，避免一刀切导致真实用户无法访问。
Apachemod_geoip2国家访问限制修改时间：2026-08-10 12:12:54