Nebula 使用地理位置 (Geo-IP) 進行精準流量管控

Zyxel小編 Corey

什麼是 Geo-IP 防護？

在開放的網際網路世界中，網路攻擊時常帶有地域性。Geo-IP (地理位置) 功能，允許管理者根據國家/地區來建立位址物件，並在防火牆中針對這些「國家物件」設定存取規則。

這項功能讓您可以輕鬆地阻擋來自特定高風險國家的連線，或反向地，只允許特定國家的使用者存取您的內部服務，是提升網路邊界安全性的重要工具。

適用對象與版本

適用型號：本篇教學適用於 ATP / USG FLEX / VPN 系列防火牆。

適用版本：本篇教學的截圖與操作，基於 Nebula Control Center 19.00 版本。

Geo-IP 的三大核心應用

在 Nebula 防火牆中，Geo-IP 物件主要應用於以下三種設定，讓您能進行精細的流量管控：

1. 防火牆規則 (Security Policy)：直接允許或阻擋特定國家的連線。
2. 政策路由 (Policy Route)：將前往特定國家的流量，指定由特定的 WAN 埠出口。
3. 網路位址轉譯 (NAT)：限制僅有特定國家的來源 IP，才能存取您對外開放的內部伺服器。

設定教學與應用情境

應用一：使用「防火牆規則」阻擋來自高風險國家的連線

情境說明：

公司的資安報告顯示，近期有大量來自特定國家的惡意掃描活動。為了防患未然，管理者希望直接阻擋所有來自這些高風險國家的連線請求。

設定目標：

建立一條防火牆規則，阻擋 (Deny) 所有從特定國家 (範例：南非) 嘗試連入的流量。

操作步驟：

1. 前往 【設定 > 防火牆 > 安全性政策】，點擊「+新增」。
2. 參數設定：

欄位	設定值	說明
名稱	Block_Outbound_to_ZA	自訂一個易懂的名稱。
動作 (Action)	拒絕	選擇「拒絕」來阻擋符合條件的流量。
來源 (Source)	Any	此規則適用於所有內部來源的流量。
目的地 (Destination)	選擇「南非」的 Geo-IP 物件	這是最重要的步驟，鎖定流量的目的地國家。
其他欄位	any	服務、使用者等保持 any，代表不限制。

3. 將規則的優先級調高，並儲存。

應用二：使用「政策路由」將特定國家流量導向指定線路

情境說明：

公司有兩條 WAN 線路，其中 WAN2 是費用較低但速度較慢的線路。管理者希望將連往特定非業務核心國家的流量，都改走 WAN2，以節省主要線路 WAN1 的頻寬。

設定目標：

建立一條政策路由，將內部網路所有前往特定國家的流量，都強制透過 WAN2 出口。

操作步驟：

1. 前往 【設定 > 防火牆 > 路由】，在「政策路由」區塊點擊「+新增」。
2. 參數設定：

欄位	設定值	說明
來源 (Source)	Any	規則適用於所有內部來源的流量。
目的地 (Destination)	選擇目標國家的「地理位置」物件	這是最重要的步驟，用以鎖定流量的目的地國家。
類型 (Type)	Internet	表示這是一條對外連線的規則，系統會自動執行 SNAT。
下一個躍點 (Next-hop)	WAN2	強制將流量從 WAN2 這個出口送出。

3. 儲存設定。

應用三：使用「NAT」限制伺服器的存取來源國家

情境說明：

公司在內部架設了一台網站伺服器，並已設定 NAT 規則讓外部使用者可以存取。但基於業務需求，這台伺服器只應提供給台灣地區的使用者。

設定目標：

修改現有的 NAT 規則，限制只有來自「台灣」的 IP 位址，才能成功連接到內部伺服器。

操作步驟：

1. 前往【設定 > 防火牆 > NAT】。
2. 找到並編輯您要修改的那條 NAT 規則。
3. 在規則設定的最下方，找到「允許的遠端 IP」欄位。
4. 選擇「地理位置」，然後選擇「台灣 (Taiwan)」。
5. 儲存設定。

進階疑難排解

若您發現某個 IP 位址的地理位置判斷有誤，或想確認資料庫版本，可以透過防火牆的命令列介面 (CLI) 進行查詢。

提示：若不熟悉 CLI 操作，請參考：掌握 CLI 操作：如何使用 Console 電纜和 SSH

• show geo-ip database version
• show geo-ip geography address [要查詢的IP位址](例如：show geo-ip geography address 8.8.8.8)