apt install ipset
# 本地 ip 
ipset create local hash:net
ipset add -exist local 127.0.0.1/8
ipset add -exist local 10.0.0.0/8
ipset add -exist local 172.16.0.0/12
ipset add -exist local 192.168.0.0/16
# 国内 ip
ipset create china hash:net
# 下载国内 ip 段
curl -O "http://www.ipdeny.com/ipblocks/data/countries/cn.zone"
# 导入 ipset
for i in `cat cn.zone`; do echo "ipset -exist add -exist china $i" >>addchina.ipset.sh; done

# 把非本地以及国内的流量丢包
iptables -I INPUT -m set ! --match-set china src  -m set ! --match-set local src -j DROP
# 允许已经建立的连接的入站流量
iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT