国内的网站 ban 国外 ip 是为了防止攻击吗？

[nnegier]

随想，感觉这样确实可以规避到风险，因为国内的 ip 好查也能执法，只是苦了我。另外不知道除此之外还有没有其它意图

[zzh0410]

安全层面，国外 ip 廉价。业务层面，一般业务不是出海的话，基本不需要国外访问吧

[epiphyllum]

是的，一般就是为了防止攻击；有的网站甚至会判断浏览器语言(accept-language)来拦截请求。

[datou]

虎王行动了解一下

[gentrydeng]

其他意图之一：欧盟的《通用数据保护条例》（ General Data Protection Regulation ，GDPR ）要求个人数据处理者必须清楚地披露任何数据收集，声明数据处理的合法基础和目的，保留数据的时间以及是否与任何第三方或欧盟以外的国家共享数据。——维基百科

这里所说的个人数据包括 IP 地址。这意味只要一个网站能够在欧盟境内中访问，那就是“个人数据处理者”。
运营实体不在欧盟范围内的运营方可能不会在意这点，但显然大型企业或互联网公司不在此列。

[liyafe1997]

@zzh0410 海外华人也不少的...不过回墙梯也是常备的东西，遇到这种情况好多次都要跳国内 IP 来访问。

[crab]

应该是吧。遇到一些政府官网主域名可以正常访问，但一些业务如果是在子域名就有概率打不开了。

[charlie21]

作为大型企业或互联网公司，如果 不 ban 欧盟 IP ，那么 在网站方无视 GDPR 的情况下 欧盟就要向你罚款了？

我甚至查了一下 does pornhub comply with GDPR 。如果是真的，那么这简直是一个讹人条款，方便欧盟讹诈 pornhub

[gam2046]

@charlie21 #7 只要企业本身不涉及欧盟业务，其实也就是空头条款了，罚单是你自己用 A4 纸随便打印的，而钱是在我兜里，不会给的。

等哪天想开着欧洲业务了，换一个经营实体的事情。

[jameskongawork]

@gam2046 去看看 GDPR 跟业务开展一点关系都没有，只要能访问到，你就违规了。这就是 GDPR 长臂管辖的意义

[gam2046]

@jameskongawork #9 我明白，我的意思，你可以管，但是又不能强制我交钱。就像欧洲法院可以自己打个判决，给我判 200 年，但他不能过来我的国家执行。我人不在欧洲，对我没有丝毫影响，等我哪天想去了，就换个名字（经营实体）再去欧洲。

[Paulownia]

出于安全的考虑，因为现在从国内监管单位的角度，会通报各个企业的一些网络安全风险，其中有一个问题就是一些国外的 IP 对于国内业务的攻击尝试，让一些二把刀领导们觉得，这是帝国主义亡我之心，就会把一些国外的攻击行为上纲上线。
苦于上级压力，到了执行侧，显示封堵国外恶意 IP ，然后就演变成封堵一切国外 IP 了。

建议，如果有这类防护要求，可以考虑找一个离线的 IP 地址库，根据日志查询访问地址的国家归属，虽然 IP 离线库的准确度不好说，但是精准区分国内外还是毫无压力的，然后联动 waf 啊，或者 fail2ban 之类的工具，实现自动封堵。