Гео - для чего лучше?

Смотря как много адресов/подсетей и по какой причине блочишь?

По причине той, что эти страны не нужны, например: Китай.

иптаблесы, ибо режет весь трафик, а не только 80 порт. Базу для иптаблесов брать тут, обновляется регулярно - советую навелосипедить скрипт для автообновы по крону.

Личности, блочащие по стране не нужны.

Это глупо — блочить всю страну из-за тупых шаблонов. Блочь по факту на iptables.

Интереесно. Вот такие люди сайтом Бибиси заведуют.
http://www.bbc.co.uk/connect/campaigns/give_an_hour.shtml
Решил британец что Россия не нужна, значит Россия не нужна. Баста.

Я спрашиваю так как попросили узнать.

p.s. хочеться еще услышать мнения

ipset

Разве через ipset можно заблокировать страны? Насколько я помню то нет.

http://bgp.he.net/country/CN

Собери диапазоны и заблокируй.

+100500 печенек тебе к чаю.

Когда на твой хост сделает хотлинк китайский портал с парой миллионов просмотров в день, потому что у тебя картинка прикольная валяется, хостер взвоет от нагенеренного трафика и отрубит твой дедик, тогда-то ты запоешь иначе *coolface*

Ах вот оно что!.. Теперь мне понятно стало, зачем Китаю суперкомпьютеры. Имиджборды хостить, да? :)

Блочат китайцев именно по указанной причине :)

В пакете нет поля «страна» как и поля «AS», потому так или иначе все правила такого рода будут использовать заранее сгенерированный список ip префиксов, ибо делать на каждый пакет запрос куда то там - идиотизм.

лучше блочить на уровне nginx, ибо при ддосе 10к+ китайцев, у тебя сожрет весь проц ksoftirq.
а nginx в таком случае можно будет выключить(на время разумеется).
и да, не лучший вариант блокать страны, это крайний случай, ибо не все базы geoip совершенны.

Благодарю всех за то что ответили.

Если юзать ipset, то ksoftirq ничего не пожрёть. Всё зависит от атаки конечно, но при средней - всё будет ОК.

ipset и то надо юзеть в цепочке raw, ибо после 600к pps также сервер загнется.
а гео ип, также как и recent и темболие string создают просто колосальную нагрузку на сервер.

а как же наши русские, на пример с mail.ru которые блочат канаду?