UPD: начиная с Debian 8 Jessie в non-free репозитории есть пакет xtables-addon
Соответственно, тем, у кого jessie и выше, статью можно не читать, а просто сделать так:
apt-get install xtables-addon

Часто в разговоре с заказчиками или со знакомыми начинающими админами мелькает фраза «а забань китай!». Если админы говорят это с юмором, то заказчики — на полном серьезе с непониманием того, что не существует единого диапазона IP для Китая. И вот, админ топает куда-нибудь на ресурс, где есть списки подсетей, генерирует список для htaccess и/или nginx… И вот типа забанил. Угу. Чуть более глупые заказчики просят сделать это программеров. Программер подключает GeoIP к PHP…. Ну дальше вы поняли. Банить-то оно банит, но затраты ресурсов…
Кто-то поступает чуть более умнее. Берет списки подсетей и забивает их в iptables.
Несколько раз передо мной вставала такая задача. Первый раз я долго переводил взгляд со слова iptables на слово geoip и обратно. Думал, размышлял, фантазировал. Потом пошел в гугл и вбил «iptables + geo». Ну и нашел нужный модуль)
Всё бы хорошо, но его установка в Debian Squeeze несколько нетривиальна. Далее будет инструкция по установке в моем любимом дистре, а в конце статьи — несколько примеров использования этого прекрасного модуля.

Для начала скомпилируем сам модуль:
root@firewall:~# module-assistant auto-install xtables-addons-source
Если вылетит ошибка — жмите Continue и запускайте ещё раз — у меня после этого всё поставилось нормально.
Теперь запустим такую команду:
root@firewall:~# iptables -I INPUT ! -i lo -m geoip --src-cc US -j DROP
Нам пожалуются, что у нас нет БД в каталоге. Либо /usr/share/xt_geoip/LE, либо /usr/share/xt_geoip/BE. Зависит от архитектуры, но мне лениво запоминать какой каталог от какой архитектуры. Да и скопипастить директорию проще, чем потом создавать) Я буду отталкиваться от того, что у меня попросили директорию /usr/share/xt_geoip/LE.
Поставим нужные модули для perl и unzip:
root@firewall:~# aptitude install libtext-csv-xs-perl libxml-csv-perl libtext-csv-perl unzip
Собственно, проблема в том, что автособиралка модулей для дебиана не создаёт базу GeoIP для iptables. Но никто не мешает создать нам её руками. Идем за исходниками и распаковываем оттуда архив. После распаковки у меня получился каталог xtables-addons-1.28/
Соберем базу:
root@firewall:~# cd xtables-addons-1.28/geoip/
root@firewall ~/xtables-addons-1.28/geoip # ./geoip_download.sh
root@firewall ~/xtables-addons-1.28/geoip # mkdir -p /usr/share/xt_geoip/LE
root@firewall ~/xtables-addons-1.28/geoip # ./geoip_build_db.pl -D /usr/share/xt_geoip/LE < GeoIPCountryWhois.csv

База собрана. Можем начинать её использовать.
Приведу несколько примеров.
Забаним на сервере весь трафик от/до хостов, которые расположены не в Германии, Украине или России:
root@firewall:~# iptables -I INPUT ! -i lo -m geoip ! --src-cc DE,UA,RU -j DROP
Тоже самое, но только для 80го порта, с доступом только из России:
root@firewall:~# iptables -I INPUT -p tcp --dport 80 ! -i lo -m geoip ! --src-cc RU -j DROP
Забаним ненавистный китай совсем:
root@firewall:~# iptables -I INPUT ! -i lo -m geoip --src-cc CN -j DROP