在构建分布式系统时，流量的来源属性（Provenance）是决定访问决策的关键因子。ZeroNews 4.0 RC 版本中，最新推出的 地理围栏 (Geo-Fencing) 插件，将流量治理的粒度从传统的 IP 地址段提升到了地理空间维度。
通过该插件，开发者或使用者可以在边缘网关处直接配置基于国家、省份甚至直辖市的流量规则，实现“按需暴露”的精确治理。实际业务中，我们强烈建议如SSH/RDP，或API用户，开启此功能。
1. 痛点分析：为什么传统的防火墙方案不够？
在内网穿透场景下，防御恶意扫描和定向攻击通常面临以下挑战：
● 动态 IP 的维护成本： 维护一份庞大的、不断变化的全球 IP 库并手动编写规则几乎是不可能的。
● 冷启动风险： 隧道建立的一瞬间，来自全球各地的自动化扫描脚本就会探测你的开放端口。
● 业务合规性： 某些业务受限于法律合规或网络质量，必须限制仅特定地区的用户可访问。
下图是一些未开启地址围栏用户遇到的情况，当他面将本地电脑远程连接服务的3389，代理到互联网上进行远程连接访问时，会莫名其妙出现图中报错，这是因为当本地电脑有一个公网地址后，互联网上的各种扫描探测工具便时刻在探测尝试登录。好在用户设置了安全的登录密码。这种疯狂的扫描，以国IP外居多。
2. 核心架构：边缘节点的精细化路由
ZeroNews 的地理围栏插件并非简单的黑名单过滤，它是在边缘节点（Edge Nodes）利用高性能的 Geo-IP 数据库 进行实时匹配。
A. 区域化准入决策
插件支持对国内流量精确到省份和直辖市（如：仅允许上海、广东的流量接入），对海外流量精确到国家级别。
● 技术实现： 当一个 TCP/HTTP 请求到达 ZeroNews 分布式网关时，网关会提取源 IP，在零拷贝状态下完成地理信息比对。
● 技术收益： 如果请求不符合预设范围，连接将在边缘被直接丢弃或重置，数据包完全不会进入你的内网通道，极大地节省了本地带宽和计算资源。
B. 灵活的策略配置
● Default Deny (默认拒绝)： 仅允许特定区域访问，适用于高安全等级的内部系统。
● Targeted Blocking (定向拦截)： 拒绝来自高风险地区或非业务相关地区的扫描流量。
3. 典型应用场景
4. 小Z建议：多维度纵深防御
虽然地理围栏提供了强大的空间过滤能力，但在生产环境中，我建议将其作为纵深防御 的第一道防线：
1. 结合身份验证： 地理围栏过滤“地区”，Basic Auth 或 OAuth 插件过滤“人”。
2. 边缘审计： 开启日志功能，观察被拦截的流量来源，动态调整拦截策略。
下一期，我们将介绍ZeroNews的Basic Auth 插件功能。
目前，ZeroNews4.0RC版本已发布，欢迎大家体验。
-免费 5 Mbps 带宽
- 4 条映射
- 不限流量
- 全量高级功能试用
详情请参阅：docs.v2.zeronews.cc/more/releas…
登录地址：userv2.zeronews.cc
