TL;DR

ipset -N cnip hash:net
wget -P . http://www.ipdeny.com/ipblocks/data/countries/cn.zone
for i in $(cat cn.zone ); do ipset -A cnip $i; done
iptables -I INPUT -p tcp --dport 需要屏蔽访问的端口 -m set --match-set cnip src -j DROP

更多规则

来自 IPdeny:

https://www.ipdeny.com/ipblocks/

如果觉得 IP 段不够新的话也可以去用别家的记录，把 for 那里的文件名改一下就行。如果规则格式不是 IP:/CIDR 的话，还需要考虑一下转换问题。

除另有声明外，本博客文章均采用 知识共享(Creative Commons) 署名-非商业性使用-相同方式共享 4.0 国际许可协议 进行许可。