在 Cloudflare 后台通过 WAF 自定义规则使用 ip.geoip.country 字段匹配国家代码，是最直接且无需额外成本的拦截方案，适合业务受众地理范围明确的网站。
先说结论：通过 Cloudflare 仪表盘创建防火墙规则，利用 GeoIP 数据拦截特定国家流量，操作门槛低且即时生效。
- 适合：业务仅面向特定地区，或某国恶意流量占比极高的场景
- 优先做：先观察安全事件日志，确认攻击来源国别后再配置规则
- 再验证：规则上线后检查 Security Events 日志，确认拦截计数是否增加
- 风险控制：建议初期动作选择 Challenge 而非 Block，避免误伤合法用户
核心配置步骤（UI 界面）
Cloudflare WAF 配置主要通过网页仪表盘完成。核心路径为：登录 Dashboard → 选择域名 → Security → WAF → Custom rules → Create rule。
在 Rule setup 区域，推荐使用表达式编辑器（Expression）直接输入规则，比下拉菜单更灵活且便于后续迁移。
(ip.geoip.country eq "CN")将上述表达式中的 "CN" 替换为目标国家代码（ISO 3166-1 alpha-2 标准）。在 Choose action 区域，根据需求选择 Block（直接拦截）或 Challenge（人机验证）。
API 自动化部署示例
对于需要版本控制或自动化运维的场景，可通过 API 创建规则。以下 curl 示例展示如何添加一条拦截规则：
curl -X POST "https://api.cloudflare.com/v4/zones/:zone_id/firewall/rules" \
-H "Authorization: Bearer :api_token" \
-H "Content-Type: application/json" \
`--data` '{"name":"Block Specific Country","expression":"(ip.geoip.country eq \"CN\")","action":"block"}'注意：API Token 需具备 Firewall Rules 编辑权限，:zone_id 替换为实际域名 ID。
自定义拦截页面配置
默认拦截页面可能不够友好，可自定义响应内容：
- 进入 Security → WAF → Custom Pages。
- 找到 "Blocked" 或 "Challenge Passed" 对应页面点击 Edit。
- 支持上传自定义 HTML 或使用 Cloudflare 提供的模板，修改提示文案以降低用户困惑。
怎么验证是否生效
1. 日志验证：规则保存后，进入 Security → Events 日志页面。筛选 Action 为 Blocked 或 Challenge，观察是否有来自目标国家的请求记录。
2. 实地测试：使用位于目标国家的网络环境或代理节点尝试访问网站，预期应看到 Cloudflare 拦截页面或挑战页面。
3. Header 检查：访问被拦截时，响应 Header 中通常包含 CF 相关标识，状态码为 403。
常见坑与风险控制
1. 误伤正常用户：全国家段拦截可能误伤跨国企业员工、旅行者或使用该国出口 IP 的合法用户。建议初期使用 Challenge 动作观察一周，确认无误后再改为 Block。
2. GeoIP 精度与延迟：IP 地理位置数据库并非 100% 准确，且存在更新延迟。新分配的 IP 段可能未被及时标记，导致拦截策略滞后。
3. 免费套餐限制：Cloudflare 免费计划限制自定义防火墙规则的数量（通常为 5 条），需合理规划优先级。
4. 白名单机制：对于必须放行的特定 IP 或 ASN，建议在规则前添加 Allow 例外，或使用 Tools → WAF → Tools 中的 IP Access Rules 优先放行。
参考来源
1. Cloudflare Official Docs - Create firewall rules (https://developers.cloudflare.com/waf/tools/firewall-rules/)
2. Cloudflare Official Docs - Firewall rule fields (https://developers.cloudflare.com/waf/tools/firewall-rules/fields/)
原文链接：https://www.zjcp.cc/ask/11395.html