一、背景介绍

在推进数字政府及"互联网+政务服务"建设过程中，政务外网WEB系统承担着面向国内群众、企业提供线上申报、材料提交、审批核验等便民服务的职责。实际运营中，若系统未加地域访问限制，将频繁遭遇境外IP扫描、漏洞探测、暴力破解等恶意行为，不仅增加数据泄露与系统篡改风险，也与政务系统最小安全边界管控原则相悖。依据《网络安全法》《数据安全法》、互联网政务应用管理规定及等保2.0标准，政务互联网业务须实施精细化访问管控，未经审批禁止境外网络接入。

该系统仅服务国内用户、无境外访问场景，我们结合某政务系统的实际防护需求，采用APNIC官方IP库、定时更新脚本配合ipset+iptables，配置境内IP白名单，仅放行国内地址，阻断境外流量，并保留完整审计日志。现将该实操案例整理分享，供有同类需求的单位参考。

二、实施方案

1、选择IP地址库

网站名称：APNIC（亚太网络信息中心）每日发布最新分配表；
地址：

http://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest

2、提取中国IPv4

通过Linux下面脚本，自动生成 cn_ip.txt

Bash

#!/bin/bash

提取中国大陆 IPv4（CN=中国大陆，不含港澳台）

cat delegated-apnic-latest \

| awk -F'|' '/CN/ && /ipv4/ {print $4 "/" 32 - log($ 5)/log(2)}' \

> cn_ip.txt

执行完会得到cn_ip.txt，可直接提供给iptables列表。

3、提取中国IPv6

通过Linux下面脚本，自动生成 cn_ipv6.txt

Bash

cat delegated-apnic-latest \

| awk -F'|' '/CN/ && /ipv6/ {print $4 "/"$ 5}' \

> cn_ipv6.txt

执行完会得到cn_ipv6.txt，可直接提供给iptables列表。

4、自动更新

使用crontab添加定时任务，每天3点自动更新cn_ip.txt\cn_ipv6.txt

Plain Text

0 3 * * * /path/to/gen-cn-allow.sh >> /var/log/apnic_ip_update.log 2>&1

5、通过ipset的方式添加iptables脚本

1. 安装 ipset

yum install -y ipset || apt install -y ipset

2. 创建集合

ipset destroy cn_ip 2>/dev/null

ipset create cn_ip hash:net

3. 导入APNIC生成的 cn_ip.txt

while read ip; do

ipset add cn_ip "$ip"

done < cn_ip.txt

4. iptables 规则

iptables -F INPUT

iptables -A INPUT -s 127.0.0.0/8 -j ACCEPT

iptables -A INPUT -m set --match-set cn_ip src -j ACCEPT

iptables -A INPUT -j DROP

三、实施效果

本次通过APNIC官方IP库、定时更新脚本结合ipset+iptables配置境内IP白名单，实现政务Web系统仅对国内地址开放，全面拦截境外访问请求。

该项目案例从源头阻断扫描、破解等恶意行为，大幅削减攻击流量与安全告警，有效防范数据泄露、系统入侵等风险。在不影响国内用户正常办理政务业务的前提下，落实等保及相关法规要求，缩小攻击暴露面，同时依托日志完成行为审计，提升系统整体安全防护与合规水平。

未来，北龙云海将持续围绕政务网络安全场景开展实践，不断沉淀可复用的防护经验，为行业合规建设提供有力支撑。

投稿：研发部訾瑞杰

关于北龙云海

北龙云海秉承"精细运维管理，科技创新支撑"的服务宗旨，专注建立创新人才体系，积极探索前沿科学技术，深入研发高效解决方案，全面搭建运维应用工具，持续深耕沉淀运维能力，竭诚为客户提供安全、高效、放心服务。

未来，北龙云海将加大对AI技术的研发投入，积极探索AI技术在各业务场景的应用，以AI赋能企业数字化转型，为客户创造更大价值。

案例分享 | 面向公网业务系统境内访问白名单配置实操方案