防火墙对归属地ip作封禁

实现步骤：

1. 创建地址对象组 

   在对象组中定义需要限制的IP地址范围（如国内某省IP段、境外IP库或某国IP库）。例如：

   [Device] object-group ip address 境外IP 

   [Device-obj-grp-ip-境外IP] network subnet 123.45.0.0/16  //示例IP段

   [Device-obj-grp-ip-境外IP] quit

2. 配置安全策略 

   在安全策略中引用地址对象组，通过source-ip或destination-ip匹配归属地。例如限制境外IP访问：

   [Device] security-policy ip 

   [Device-security-policy-ip] rule name 限制境外 

   [Device-security-policy-ip-1-限制境外] source-zone untrust 

   [Device-security-policy-ip-1-限制境外] destination-zone trust 

   [Device-security-policy-ip-1-限制境外] source-ip 境外IP 

   [Device-security-policy-ip-1-限制境外] action deny 

   [Device-security-policy-ip-1-限制境外] quit

3. 应用策略 

   将策略绑定到接口或安全域间实例，例如：

   [Device] zone-pair security source untrust destination trust 

   [Device-zone-pair-security-Untrust-Trust] security-policy ip 限制境外

注意事项：

IP归属地数据：需自行维护或导入第三方地理IP库到对象组 

策略优先级：确保限制策略的优先级高于其他放行策略。

通过以上配置即可实现基于IP归属地的精细化访问控制。