Nginx中GEOip模块的使用

# 动态模块编译示例
git clone https://github.com/leev/ngx_http_geoip2_module.git
cd nginx-x.x.x
./configure --with-compat --add-dynamic-module=/path/to/ngx_http_geoip2_module
make modules
# 生成 objs/ngx_http_geoip2_module.so

# nginx.conf 顶部加载
load_module modules/ngx_http_geoip2_module.so;

# 安装 geoipupdate
apt install geoipupdate  # Debian/Ubuntu
yum install geoipupdate  # RHEL/CentOS

# /etc/GeoIP.conf 配置
AccountID YOUR_ACCOUNT_ID
LicenseKey YOUR_LICENSE_KEY
EditionIDs GeoLite2-Country GeoLite2-City
DatabaseDirectory /usr/share/GeoIP

# 手动更新测试
geoipupdate -v
# 设置定时更新（每周三，MaxMind周二发布新版）
echo "0 3 * * 3 root /usr/bin/geoipupdate" >> /etc/cron.d/geoipupdate

http {
    # ========== 数据库声明 ==========
    geoip2 /usr/share/GeoIP/GeoLite2-Country.mmdb {
        $geoip2_country_code country iso_code;       # CN, US, JP...
        $geoip2_country_name country names en;       # China, United States...
        auto_reload 60m;                             # 每60分钟检查文件变更
    }
    geoip2 /usr/share/GeoIP/GeoLite2-City.mmdb {
        $geoip2_city      city names en;
        $geoip2_latitude  location latitude;
        $geoip2_longitude location longitude;
        $geoip2_asn       traits autonomous_system_number;
        auto_reload 60m;
    }
    # ========== 真实IP提取（CDN/反代环境必需）==========
    set_real_ip_from 10.0.0.0/8;          # 内网LB
    set_real_ip_from 172.16.0.0/12;
    set_real_ip_from 103.21.244.0/22;     # Cloudflare
    set_real_ip_from 52.84.0.0/15;        # AWS CloudFront
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;
    server {
        listen 80;
        # ========== 地域封禁 ==========
        if ($geoip2_country_code = "XX") {
            return 403;
        }
        # ========== 地域跳转 ==========
        if ($geoip2_country_code = "JP") {
            rewrite ^/(.*)$ https://jp.example.com/$1 permanent;
        }
        # ========== 传递地域信息给后端 ==========
        proxy_set_header X-Country $geoip2_country_code;
        proxy_set_header X-City    $geoip2_city;
        # ========== 日志记录 ==========
        log_format geo_log '$remote_addr $geoip2_country_code $geoip2_city $request_uri';
        access_log /var/log/nginx/access_geo.log geo_log;
    }
}

auto_reload 60m; # 每60分钟检查一次，推荐值

# 必须同时满足三个条件：
# 1. set_real_ip_from 声明可信来源
# 2. real_ip_header 指定携带真实IP的头
# 3. real_ip_recursive on 处理多级代理

geoip2 /usr/share/GeoIP/GeoLite2-City.mmdb {
    $geoip2_city city names en;
    auto_reload 60m;
    # mmap 是默认行为，无需额外指令
    # 如需禁用mmap改用read：一般不推荐，除非特殊安全需求
}

# ✅ 白名单：只允许指定国家
map $geoip2_country_code $allowed {
    default   0;
    CN        1;
    HK        1;
    SG        1;
}
server {
    if ($allowed = 0) {
        return 403;
    }
}

# ❌ 黑名单：逐个排除，容易遗漏新出现的攻击源
if ($geoip2_country_code = "XX") { return 403; }
if ($geoip2_country_code = "YY") { return 403; }

# ❌ 错误
location /api/ {
    geoip2 /path/to/db.mmdb { ... }  # 语法错误！
}
# ✅ 正确：http块声明，location中使用变量
http {
    geoip2 /path/to/db.mmdb { $geoip2_cc country iso_code; }
}
server {
    location /api/ {
        if ($geoip2_cc = "CN") { ... }
    }
}

map $geoip2_country_code $rate_limit_zone {
    CN    "normal";
    RU    "strict";
    KP    "block";
    default "normal";
}
limit_req_zone $binary_remote_addr zone=normal:10m rate=100r/s;
limit_req_zone $binary_remote_addr zone=strict:10m rate=10r/s;
server {
    location /api/ {
        limit_req zone=$rate_limit_zone burst=20 nodelay;
        proxy_pass http://backend;
    }
}

stream {
    load_module modules/ngx_stream_geoip2_module.so;
    geoip2 /usr/share/GeoIP/GeoLite2-Country.mmdb {
        $geoip2_country country iso_code;
    }
    map $geoip2_country $upstream_pool {
        CN    backend_cn;
        default backend_global;
    }
    upstream backend_cn { server 10.0.1.1:3306; }
    upstream backend_global { server 10.0.2.1:3306; }
    server {
        listen 3306;
        proxy_pass $upstream_pool;
    }
}

log_format geo_json escape=json '{"ip":"$remote_addr","country":"$geoip2_country_code",'
                                '"city":"$geoip2_city","lat":$geoip2_latitude,'
                                '"lon":$geoip2_longitude,"uri":"$request_uri"}';
access_log /var/log/nginx/geo_access.json geo_json;

# 临时添加调试端点
location /debug-geo {
    default_type text/plain;
    return 200 "IP: $remote_addr\nCountry: $geoip2_country_code\nCity: $geoip2_city\nASN: $geoip2_asn\n";
}

curl https://example.com/debug-geo
# 期望输出真实地理位置，而非CDN节点位置

# 对比两个变量
curl -H "X-Forwarded-For: 1.2.3.4" https://example.com/debug-geo
# remote_addr应为1.2.3.4（real_ip生效后），geoip应解析1.2.3.4的位置

# 使用mmdbinspect验证数据库文件
mmdbinspect -db /usr/share/GeoIP/GeoLite2-City.mmdb -ip 8.8.8.8
# 期望返回完整的地理位置JSON

# wrk压测观察GeoIP对QPS的影响
wrk -t4 -c100 -d30s https://example.com/api/test
# 对比开启/关闭geoip2模块的QPS差异，通常<3%