iptables + блокировка по стране

Можно, для ioptables есть модификатор "-m geoip". А что бы обрабатывался только определённый домен вам придётся использовать ещё один модификатор "-m string" для отсеивания имени домена.

Что за ioptables? Это же будет содомия, на паре сотен ежесекундных коннектов ляжет, или нет?

А язык браузера еще как-то можно учесть? Связка: страна+язык

Думаю, iptables'ами этого не сделать. Только апачём. Поправьте меня. А в mod_geoip нельзя настроить что отдавать?

Что за ioptables?

Очевидно, что это «очепятка».

Это же будет содомия, на паре сотен ежесекундных коннектов ляжет, или нет?

Кто же его «ддосить» собирается? Всё зависит от мощности сервера и ширины канала, да и то маловероятно. А так, если точно идёт атака - так это к хостинг провайдере надо обращаться.

Можно. Но там возвращается 403 ответ, а мне важно, чтобы сайт вообще не открывался никак, как будто его нет или он отключен!

ддос маловероятен. Задача в другом.

А смысл? Читайте документацию по HTTP заголовку и смотрите есть ли в нём какое-либо указание языка браузера.

Что вы хотели этим сказать?

То, что браузер всё же сообщает в http заголовке язык, посмотрите как он это делает, удостоверьтесь, что вы выбрали правильную форму указания языка на всех браузерах и напишите соответствующее правило для iptables.

Удачи.

Спасибо! Я пока проверю блокировку страны для домена, это самое важное. Язык браузера это уже как бонус :)

Как тогда браузер передаст свои языки, если надо будто он отключён? Т.е. в любом случае ему надо соединиться и передать заголовки.

Что мешает проверить на язык, а потом на страну?

Тем, что надо получить заголовки с http клиента (по языку это Accept-languages или типа того). А для этого надо принять соединение. На страну тупо по IP можно проерить.

Дак если страна пропустится, то дальше нужно проверить на язык, иначе можно включить VPN и спокойно зайти. По идее достаточно и одной страны, но в связке с языком более надежно.

Ну тогда 403 будет. :) Хотя, в теории, можно написать модуль, который будет разрывать соединение, а не отправлять ответ. Причём будет видно, что запрос ушёл.