Cloudflareで中国のIPアドレスからのアクセスをブロックする

最近、中国のIPアドレスからのアクセスが増えていた。調べてみたらどうやらスパムっぽいお行儀の悪いアクセスらしく、ブロックすることにしたのでやり方を書く。中国に限らず、他の外国からのアクセスをブロックしたり、逆に特定の国だけアクセスを許可したりできた。

GA4に出るLanzhouからのアクセス。リファラスパムというらしい

そもそも何で中国のIPをブロックしようと思ったかと言うと、最近突然Google Analyritics (GA4) に中国からのアクセスが表示された。これはある日の1日の市区町村別のアクセス。

画像赤枠、1位の Lanzhou と言うのが中国の蘭州市というところからのアクセスらしい。「ねろぶろぐ」は日本語しか対応してないから、中国からアクセスされること自体が不自然なんだけど、それに加えてエンゲージのあったセッション数やエンゲージメント率、エンゲージメント時間などが全て『０』になっている

2位以下の情報を見ればわかるんだけど、ちゃんと人間のアクセスの場合はちゃんと値が入るはずなんだ。そもそもアクセスしているのにエンゲージメント時間が0秒なんて人間のアクセスであればあり得ない話。

AIに聞いたところ、どうやらこれはリファラスパムというやつらしい。

Cloudflareで特定の国をブロックする方法

ということでリファラスパムをきっかけに、中国からのアクセスをブロックすることにした。そもそも中国人向けに記事を書いていないから、アクセスさせる理由も向こうがアクセスする理由もないだろう。

ルールの作成

Cloudflareのダッシュボードにアクセスし、「セキュリティ→セキュリティルール」の画面にアクセスする。「+ルールを作成」ボタンからカスタムルールの作成ができるので、これを選択する。

ルールの設定

ルールの設定は以下のようにする。

変更するのはフィールド、オペレーター、値、アクションの4つ。あとは「デプロイ」を押せばルールが適用される。

Cloudflareで防げないリファラスパムもあるらしい

さて、ここまでリファラスパムの話とCloudflareでブロックする話をしたんだけど、リファラスパムはCloudflareでは防げないこともあるらしい。と言うのも、Cloudflareは実際のサイトへのアクセスはブロックしてくれるんだけど、リファラスパムはGA4に直接「アクセスしました」という通信を送っているため、ブログへのアクセスをブロックしても意味がないらしい。

サイト運営者がリファラスパムに対してブロックしたりするのは難しいんだ。なのでGA4の設定でリファラスパムのデータを除外するしかない。なんとも迷惑な話である。(2026.01.25追記: このスパムに関してはピタリと止まった。俺の勝ち)

とはいえ、今回設定したルールが中国からのアクセスをブロックしていることはCloudflareのログから確認できた。これで綺麗にブロックできればいいんだけど、この手のスパムと対策のような、攻撃と防御の関係になるものはイタチごっこになるのが常。

今回対策できてもいずれ似たようなことを別の手口でやってくるんだろうけど、とりあえず今の段階で対策前よりも良くなったので一旦よしとする。