可以，但无法直接通过一个“勾选地区”的按钮实现。

F1090防火墙本身具备基于源IP地址进行访问控制的能力，要实现“地区限制”，核心方法是通过手动维护一个地区IP地址库，将其转化为防火墙可以识别的安全策略。

核心思路

你的需求本质是：只允许（或禁止）来自特定地理位置的IP地址，访问你通过NAT发布的内部服务器。

实现路径如下：

1. 获取地区IP地址段：从第三方渠道获取目标地区（如中国大陆）的IP地址列表。

2. 在防火墙上创建地址对象组：将这些IP地址段导入防火墙，形成一个可被策略引用的对象。

3. 配置安全策略：在防火墙的安全策略中，引用该地址对象组作为“源IP地址”，并关联到你的NAT内部服务器策略上，从而控制访问来源。

 重要注意事项

1. IP地址库的动态性：全球IP地址段是不断变化的，你需要定期更新防火墙中的地址对象组，否则限制会变得不准确。

2. 性能影响：如果一个地址对象组包含成千上万条IP段，可能会对防火墙的策略匹配性能产生一定影响，需要注意评估。

3. 策略匹配顺序：H3C防火墙的安全策略是自上而下匹配的。请确保这条基于地区的“允许”策略，位于任何通用的“拒绝”策略之前。

实现原理

1. 防火墙接口入方向收到来自 Untrust 的报文
2. 安全策略先匹配（此时目的 IP 还是公网 IP，命中 nat server 映射后转换为内网 IP）
3. NAT Server 把公网地址:端口映射成内网服务器地址:端口
4. 报文转发到内网服务器

关键前提：版本与地区识别特征库

• R9660P55 及以上 R9660 系列：主版本原生支持，只需加载最新的地区识别特征库 V7-GEO-1.0.12.dat（2026-03-27 发布）即可启用
• R96xx 老分支：部分老版本不具备该功能，需升级到 R9707P22 及以上或 E9705P28 及以上正式版本
• 早期版本（如 R8660P33、R8860）：官方 NAT 典型配置里能用安全策略限制源 IP，但地区识别能力依赖后续版本特征库

💡 如果你的版本太老，知了社区早年的回答是"暂时没有地域限制功能，只能手工加国内/国外地址段"——这是旧版本的无奈之举，新版本已经不用这么笨了。

配置思路（伪代码）

几个容易踩的坑

• 策略顺序：安全策略自上而下匹配，拒绝规则别放在放行规则前面，否则业务直接被拦
• 安全域方向：nat server 场景是 Untrust → Trust（或 DMZ），方向写反策略永远不会命中
• NAT 与策略的时序：安全策略匹配的是 NAT 转换前的原始公网 IP，不是转换后的内网 IP
• 特征库要定期更新：IP 地理归属库会变化，建议开启自动升级 geo-location signature auto-update
• License：地区识别功能通常包含在防火墙基础 License 中，无需额外授权

⚠️ 如果你当前的 F1090 还跑在 R8660/R8860 这类老版本上，先确认版本是否支持地区识别——不支持的话光配 nat server + 普通安全策略是做不到"按国家/地区"过滤的，要么升级版本和特征库，要么退而求其次用手工地址段。

不支持的 

F1090 防火墙对 NAT 内部服务器做地区访问限制

核心说明：NAT‑Server 本身没有地区过滤功能；地区限制是在安全策略层面实现，NAT 只做地址转换，访问控制交给域间安全策略，引用地理位置对象做源地区过滤。 版本要求：F1090 Comware V7，需要加载地区特征库 geo‑location，支持国家 / 省 / 城市粒度匹配外网访问源 IP 地区H3C。

实现思路

1. 正常配置nat server发布内网服务器；
2. 加载地区特征库，创建地区组，把允许 / 禁止访问的地区加入组；
3. 在untrust→dmz/trust安全策略中，源匹配地区组，对访问内网服务器的流量做 pass/deny；

逻辑：外网用户访问公网映射 IP，防火墙先做 NAT 目的转换，再执行安全策略校验源 IP 所属地区，匹配策略动作放行或者阻断。

完整配置示例

1、加载地区特征库（设备一般自带，版本旧需要更新）

2、创建地区组（示例：仅允许国内 IP 访问服务器，拒绝境外）

3、配置 NAT‑Server 发布内网服务器（常规配置）

###4、安全策略引用地区组做访问控制（关键）

⚠️注意：安全策略写转换之后的真实内网目的 IP，不要写 NAT 公网 IP。防火墙完成目的 NAT 转换之后，匹配安全策略使用转换后的内网服务器 IP。

Web 界面配置路径

1. 【对象】‑【地理位置】，新建地区组，勾选需要允许的国家 / 省份；
2. 【策略】‑【安全策略】新建 untrust 到 DMZ 策略，源对象选择刚才创建的地理位置组，目的对象填写内网服务器真实 IP，配置服务，动作允许；
3. 再配置一条兜底 deny 策略，拒绝其余地区访问该服务器。

重要约束 & 踩坑点

1. ❌NAT‑server 命令行本身不能直接加地区过滤，必须靠安全策略的source‑geo‑location‑group实现，很多人误以为 NAT 配置里可以直接写地区。
2. 地区特征库需要定期升级；部分 IP 无法识别会归类为unknown（未知地区），如果只放通 china，unknown 地区会被拒绝，根据业务决定是否要把 unknown 加入允许组。
3. 该匹配基于报文源 IP 的归属地数据库，不是基于 DNS 域名解析；如果是代理、CDN 代理 IP，地区识别会不准。
4. 双机 RBM 场景：地区特征库两台设备都需要单独加载，不会随配置同步。
5. 查看匹配统计：display security‑policy statistics rule name Allow‑CN‑Access‑Server，确认地区规则是否命中流量。

备选方案

如果版本不支持 geo 地理位置库，只能手动收集允许访问的公网 IP 网段，用地址对象组在安全策略源地址做放行。