CentOS下Nginx配置地理访问控制：限制仅允许特定地区/国家访问

ihanyouqing#gmail.com (#->@) (Youqing Han) — Mon, 01 Sep 2025 10:00:00 +0800

概述

需求来自某好友某生产环境，有古老的应用运行于远古的操作系统之上，年久失修，无人维护。某日，或老板/或领导/或客户，心血来潮提出一些需求，比如根据访问者的地理位置来限制对网站或API的访问。以应对以下场景：

合规性要求（如GDPR、数据本地化）
许可证限制（某些服务仅在特定国家可用）
安全防护（阻止来自特定地区的恶意流量）
业务需求（仅服务特定市场）

本文将详细介绍在CentOS系统上配置Nginx实现地理访问控制的多种方法。

方法一：使用Nginx GeoIP模块（推荐）

注意：CentOS 7兼容性

在CentOS 7上，默认的Nginx包可能不包含GeoIP模块。如果遇到模块缺失问题，请参考以下解决方案：

检查现有Nginx是否支持GeoIP：

nginx -V 2>&1 | grep -o with-http_geoip_module

如果支持，直接使用；如果不支持，选择以下方案之一：
- 使用防火墙规则（方法二）
- 使用第三方服务（方法三）
- 重新编译Nginx（见下方安装步骤）

1. 安装GeoIP模块

# 安装EPEL仓库
sudo yum install -y epel-release

# 安装GeoIP工具和数据库
yum -y install GeoIP GeoIP-devel GeoIP-data.noarch GeoIP geoipupdate geoipupdate-cron

# 检查Nginx是否已安装GeoIP模块
nginx -V 2>&1 | grep -o with-http_geoip_module

# 如果没有GeoIP模块，需要重新编译Nginx
# 安装编译依赖
sudo yum groupinstall -y "Development Tools"
sudo yum install -y pcre-devel zlib-devel openssl-devel libxml2-devel libxslt-devel gd-devel perl-devel perl-ExtUtils-Embed

# 安装Google perftools（如果启用该模块）
sudo yum install -y gperftools gperftools-devel

# 下载Nginx源码并编译（如果需要）
wget http://nginx.org/download/nginx-1.28.0.tar.gz
tar -xvf nginx-1.28.0.tar.gz
cd nginx-1.28.0

# 参数从原 nginx -V 中获取，追加 --with-http_geoip_module 
./configure --prefix=/usr/share/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --http-client-body-temp-path=/var/lib/nginx/tmp/client_body --http-proxy-temp-path=/var/lib/nginx/tmp/proxy --http-fastcgi-temp-path=/var/lib/nginx/tmp/fastcgi --http-uwsgi-temp-path=/var/lib/nginx/tmp/uwsgi --http-scgi-temp-path=/var/lib/nginx/tmp/scgi --pid-path=/run/nginx.pid --lock-path=/run/lock/subsys/nginx --user=nginx --group=nginx --with-compat --with-debug --with-file-aio --with-google_perftools_module --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_degradation_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_image_filter_module=dynamic --with-http_mp4_module --with-http_perl_module=dynamic --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-http_xslt_module=dynamic --with-mail=dynamic --with-mail_ssl_module --with-pcre --with-pcre-jit --with-stream=dynamic --with-stream_ssl_module --with-stream_ssl_preread_module --with-threads --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -specs=/usr/lib/rpm/redhat/redhat-hardened-cc1 -m64 -mtune=generic' --with-ld-opt='-Wl,-z,relro -specs=/usr/lib/rpm/redhat/redhat-hardened-ld -Wl,-E' --with-http_geoip_module 

make && sudo make install

# 检查Nginx是否支持GeoIP模块
/usr/sbin/nginx -V 2>&1 | grep -o with-http_geoip_module

2. 下载MaxMind GeoIP数据库

# # 创建目录
# sudo mkdir -pv /usr/share/GeoIP

# # 下载GeoIP2数据库（需要Nginx支持geoip2模块）
# wget -P /usr/share/GeoIP https://github.com/P3TERX/GeoLite.mmdb/raw/download/GeoLite2-ASN.mmdb
# wget -P /usr/share/GeoIP https://github.com/P3TERX/GeoLite.mmdb/raw/download/GeoLite2-Country.mmdb
# wget -P /usr/share/GeoIP https://github.com/P3TERX/GeoLite.mmdb/raw/download/GeoLite2-City.mmdb
# ln -s /usr/share/GeoIP/GeoLite2-Country.mmdb /usr/share/GeoIP/GeoLite2-Country.dat

# 验证数据库文件
ls -la /usr/share/GeoIP/
geoiplookup 8.8.8.8

3. 配置Nginx

在/etc/nginx/nginx.conf中添加：

Centos on Youqing Han - DevOps Engineer

CentOS下Nginx配置地理访问控制：限制仅允许特定地区/国家访问

概述

方法一：使用Nginx GeoIP模块（推荐）

1. 安装GeoIP模块

2. 下载MaxMind GeoIP数据库

3. 配置Nginx