搜索

[24624] 2016-01-15_如何在Linux中根据国家位置来阻断网络流量

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2016-01-15_如何在Linux中根据国家位置来阻断网络流量 如 何 在   L i n u x   中 根 据 国 家 位 置 来 阻 断 网 络 流 量 原 创   译 者 ：   F S S l c   L i n u x 中 国   2 0 1 6 - 0 1 - 1 5 参 考 原 文 ： h t t p : / / x m o d u l o . c o m / b l o c k - n e t w o r k - t r a f f i c - b y - c o u n t r y - l i n u x . h t m l   作 者 ：   D a n   N a n n i   编 译 文 章 ： L C T T   h t t p s : / / l i n u x . c n / a r t i c l e - 6 8 8 5 - 1 . h t m l   译 者 ：   F S S l c 作 为 一 名 维 护   L i n u x   生 产 服 务 器 的 系 统 管 理 员 ， 你 可 能 会 遇 到 这 样 一 些 情 形 ： 你 需 要 根 据 地 理 位 置 ， 选 择 性 地 阻 断 或 允 许 网 络 流 量 通 过 。 根 据 地 理 位 置 ， 选 择 性 地 阻 断 或 允 许 网 络 流 量 通 过 。 例 如 你 正 经 历 一 次 由 注 册 在 某 个 特 定 国 家 的   I P   发 起 的   D o S   攻 击 ； 或 者 基 于 安 全 考 虑 ， 你 想 阻 止 来 自 未 知 国 家 的   S S H   登 录 请 求 ； 又 或 者 你 的 公 司 对 某 些 在 线 视 频 有 分 销 权 ， 它 要 求 只 能 在 特 定 的 国 家 内 合 法 发 行 ； 抑 或 是 由 于 公 司 的 政 策 ， 你 需 要 阻 止 某 个 本 地 主 机 将 文 件 上 传 至 任 意 一 个 非 美 国 的 远 程 云 端 存 储 。 所 有 的 上 述 情 形 都 需 要 设 置 防 火 墙 ， 使 之 具 有 基 于 国 家 位 置 过 滤 流 量 基 于 国 家 位 置 过 滤 流 量 的 功 能 。 有 几 个 方 法 可 以 做 到 这 一 点 ， 其 中 之 一 是 你 可 以 使 用   T C P w r a p p e r s   来 为 某 个 应 用 （ 例 如   S S H ， N F S ，   h t t p d ） 设 置 条 件 阻 塞 。 但 其 缺 点 是 你 想 要 保 护 的 那 个 应 用 必 须 以 支 持   T C P   w r a p p e r s   的 方 式 构 建 。 另 外 ， T C P   w r a p p e r s   并 不 总 是 能 够 在 各 个 平 台 中 获 取 到 （ 例 如 ， A r c h   L i n u x   放 弃 了 对 它 的 支 持 ） 。 另 一 种 方 式 是 结 合 基 于 国 家 的   G e o I P   信 息 ， 设 置   i p s e t ， 并 将 它 应 用 到   i p t a b l e s   的 规 则 中 。 后 一 种 方 式 看 起 来 更 有 希 望 一 些 ， 因 为 基 于   i p t a b l e s   的 过 滤 器 是 与 应 用 无 关 的 ， 且 容 易 设 置 。 在 本 教 程 中 ， 我 将 展 示   另 一 个 基 于 另 一 个 基 于   i p t a b l e s   的 的   G e o I P   过 滤 器 ， 它 由 过 滤 器 ， 它 由   x t a b l e s - a d d o n s   来 实 现 来 实 现 。 对 于 那 些 不 熟 悉 它 的 人 来 说 ，   x t a b l e s - a d d o n s   是 用 于   n e t f i l t e r / i p t a b l e s   的 一 系 列 扩 展 。 一 个 包 含 在   x t a b l e s - a d d o n s   中 的 名 为   x t _ g e o i p   的 模 块 扩 展 了   n e t f i l t e r / i p t a b l e s   的 功 能 ， 使 得 它 可 以 根 据 流 量 来 自 或 流 向 的 国 家 来 进 行 过 滤 ， I P   掩 蔽 （ N A T ） 或 丢 包 。 若 你 想 使 用   x t _ g e o i p ， 你 不 必 重 新 编 译 内 核 或   i p t a b l e s ， 你 只 需 要 使 用 当 前 的 内 核 构 建 环 境 （ / l i b / m o d u l e s / ` u n a m e   - r ` / b u i l d ） 以 模 块 的 形 式 构 建   x t a b l e s - a d d o n s 。 同 时 也 不 需 要 进 行 重 启 。 只 要 你 构 建 并 安 装 了   x t a b l e s - a d d o n s   ，   x t _ g e o i p   便 能 够 配 合   i p t a b l e s   使 用 。 至 于   x t _ g e o i p   和   i p s e t   之 间 的 比 较 ， x t a b l e s - a d d o n s   的 官 方 网 站   上 是 这 么 说 的 ：   相 比 于   i p s e t ， x t _ g e o i p   在 内 存 占 用 上 更 胜 一 筹 ， 但 对 于 匹 配 速
度 ， 基 于 哈 希 的   i p s e t   可 能 更 有 优 势 。 在 教 程 的 余 下 部 分 ， 我 将 展 示 如 何 使 用 如 何 使 用   i p t a b l e s / x t _ g e o i p   来 根 据 流 量 的 来 源 地 或 流 入 的 国 家 阻 断 网 络 流 量 来 根 据 流 量 的 来 源 地 或 流 入 的 国 家 阻 断 网 络 流 量 。 在 在   L i n u x   中 安 装 中 安 装   x t a b l e s - a d d o n s 下 面 介 绍 如 何 在 各 种   L i n u x   平 台 中 编 译 和 安 装   x t a b l e s - a d d o n s 。 为 了 编 译   x t a b l e s - a d d o n s ， 首 先 你 需 要 安 装 一 些 依 赖 软 件 包 。 在 在   D e b i a n ， ， U b u n t u   或 或   L i n u x   M i n t   中 安 装 依 赖 中 安 装 依 赖 在 在   C e n t O S ， ， R H E L   或 或   F e d o r a   中 安 装 依 赖 中 安 装 依 赖 C e n t O S / R H E L   6   需 要 事 先 设 置 好   E P E L   仓 库 （ 为   p e r l - T e x t - C S V _ X S   所 需 要 ） 。 编 译 并 安 装 编 译 并 安 装   x t a b l e s - a d d o n s 从 的 官 方 网 站   下 载 源 码 包 ， 然 后 按 照 下 面 的 指 令 编 译 安 装 它 。 需 要 注 意 的 是 ， 对 于 基 于 红 帽 的 系 统 （ C e n t O S 、 R H E L 、 F e d o r a ） ， 它 们 默 认 开 启 了   S E L i n u x ， 所 以 有 必 要 像 下 面 这 样 调 整   S E L i n u x   的 策 略 。 否 则 ， S E L i n u x   将 阻 止   i p t a b l e s   加 载   x t _ g e o i p   模 块 。 为 为   x t a b l e s - a d d o n s   安 装 安 装   G e o I P   数 据 库 数 据 库 下 一 步 是 安 装   G e o I P   数 据 库 ， 它 将 被   x t _ g e o i p   用 来 查 询   I P   地 址 与 国 家 地 区 之 间 的 对 应 关 系 。 方 便 的 是 ， 的 源 码 包 中 带 有 两 个 帮 助 脚 本 ， 它 们 被 用 来 从   M a x M i n d   下 载   G e o I P   数 据 库 并 将 它 转 化 为   x t _ g e o i p   可 识 别 的 二 进 制 形 式 文 件 ； 它 们 可 以 在 源 码 包 $   s u d o   a p t - g e t   i n s t a l l   i p t a b l e s - d e v   x t a b l e s - a d d o n s - c o m m o n   l i b t e x t - c s v - x s - p e r l   p k g - c o n f i g $   s u d o   y u m   i n s t a l l   g c c - c + +   m a k e   a u t o m a k e   k e r n e l - d e v e l - ` u n a m e   - r `   w g e t   u n z i p   i p t a b l e s - d e v e l   p e r l - T e x t - C S V _ X S x t a b l e s - a d d o n s $   w g e t   h t t p : / / d o w n l o a d s . s o u r c e f o r g e . n e t / p r o j e c t / x t a b l e s - a d d o n s / X t a b l e s - a d d o n s / x t a b l e s - a d d o n s - 2 . 1 0 . t a r . x z $   t a r   x f   x t a b l e s - a d d o n s - 2 . 1 0 . t a r . x z $   c d   x t a b l e s - a d d o n s - 2 . 1 0 $   . / c o n f i g u r e $   m a k e $   s u d o   m a k e   i n s t a l l $   s u d o   c h c o n   - v R   - - u s e r = s y s t e m _ u   / l i b / m o d u l e s / $ ( u n a m e   - r ) / e x t r a / * . k o $   s u d o   c h c o n   - v R   - - t y p e = l i b _ t   / l i b 6 4 / x t a b l e s / * . s o x t a b l e s - a d d o n s
中 的   g e o i p   目 录 下 找 到 。 请 遵 循 下 面 的 指 导 来 在 你 的 系 统 中 构 建 和 安 装   G e o I P   数 据 库 。 根 据   M a x M i n d   的 说 明 , 他 们 的   G e o I P   数 据 库 能 够 以   9 9 . 8 %   的 准 确 率 识 别 出   i p   所 对 应 的 国 家 ， 并 且 每 月 这 个 数 据 库 将 进 行 更 新 。 为 了 使 得 本 地 安 装 的   G e o I P   数 据 是 最 新 的 ， 或 许 你 需 要 设 置 一 个 按 月 执 行 的   c r o n   j o b   来 时 常 更 新 你 本 地 的   G e o I P   数 据 库 。 阻 断 来 自 或 流 向 某 个 国 家 的 网 络 流 量 阻 断 来 自 或 流 向 某 个 国 家 的 网 络 流 量 一 旦   x t _ g e o i p   模 块 和   G e o I P   数 据 库 安 装 好 后 ， 你 就 可 以 在   i p t a b e l s   命 令 中 使 用   g e o i p   的 匹 配 选 项 。 你 想 要 阻 断 流 量 的 那 些 国 家 是 使 用 2 个 字 母 的   I S O 3 1 6 6   代 码   来 特 别 指 定 的 （ 例 如   U S （ 美 国 ） 、 C N （ 中 国 ） 、 I N （ 印 度 ） 、 F R （ 法 国 ） ） 。 例 如 ， 假 如 你 想 阻 断 来 自 也 门 （ Y E ）   和   赞 比 亚 （ Z M ） 的 流 量 ， 下 面 的   i p t a b e l s   命 令 便 可 以 达 到 此 目 的 。 假 如 你 想 阻 断 流 向 中 国 （ C N ）   的 流 量 ， 可 以 运 行 下 面 的 命 令 ： 匹 配 条 件 也 可 以 通 过 在 或 选 项 前 加 来 达 到 相 反 的 目 的 ： 假 如 你 想 在 你 的 服 务 器 上 阻 断 来 自 所 有 非 美 国 的 流 量 ， 可 以 运 行 ： $   c d   g e o i p $   . / x t _ g e o i p _ d l $   . / x t _ g e o i p _ b u i l d   G e o I P C o u n t r y W h o i s . c s v $   s u d o   m k d i r   - p   / u s r / s h a r e / x t _ g e o i p $   s u d o   c p   - r   { B E , L E }   / u s r / s h a r e / x t _ g e o i p $   s u d o   i p t a b l e s   - m   g e o i p   - - s r c - c c   c o u n t r y [ , c o u n t r y . . . ]   - - d s t - c c   c o u n t r y [ , c o u n t r y . . . ] $   s u d o   i p t a b l e s   - I   I N P U T   - m   g e o i p   - - s r c - c c   Y E , Z M   - j   D R O P $   s u d o   i p t a b l e s   - A   O U T P U T   - m   g e o i p   - - d s t - c c   C N   - j   D R O P - - s r c - c c - - d s t - c c ! $   s u d o   i p t a b l e s   - I   I N P U T   - m   g e o i p   !   - - s r c - c c   U S   - j   D R O P
对 于 使 用 对 于 使 用   F i r e w a l l - c m d   的 用 户 的 用 户 某 些 发 行 版 本 例 如   C e n t O S / R H E L 7   或   F e d o r a   已 经 用   f i r e w a l l d   替 代 了   i p t a b l e s   来 作 为 默 认 的 防 火 墙 服 务 。 在 这 些 系 统 中 ， 你 可 以 类 似 使 用 x t _ g e o i p   那 样 ， 使 用   f i r e w a l l - c m d   来 阻 断 流 量 。 利 用   f i r e w a l l - c m d   命 令 ， 上 面 的 三 个 例 子 可 被 重 新 写 为 ： 总 结 总 结 在 本 教 程 中 ， 我 展 示 了 使 用   i p t a b l e s / x t _ g e o i p   来 根 据 流 量 的 来 源 地 或 流 入 的 国 家 轻 松 地 阻 断 网 络 流 量 。 假 如 你 有 这 方 面 的 需 求 ， 把 它 部 署 到 你 的 防 火 墙 系 统 中 可 以 使 之 成 为 一 个 实 用 的 办 法 。 作 为 最 后 的 警 告 ， 我 应 该 提 醒 你 的 是 ： 在 你 的 服 务 器 上 通 过 基 于   G e o I P   的 流 量 过 滤 来 禁 止 特 定 国 家 的 流 量 并 不 总 是 万 无 一 失 的 。 G e o I P   数 据 库 本 身 就 不 是 很 准 确 或 齐 全 ， 且 流 量 的 来 源 或 目 的 地 可 以 轻 易 地 通 过 使 用   V P N 、 T o r   或 其 他 任 意 易 受 攻 击 的 中 继 主 机 来 达 到 欺 骗 的 目 的 。 基 于 地 理 位 置 的 过 滤 器 甚 至 可 能 会 阻 止 本 不 该 阻 止 的 合 法 网 络 流 量 。 在 你 决 定 把 它 部 署 到 你 的 生 产 环 境 之 前 请 仔 细 考 虑 这 个 限 制 。 v i a :   h t t p : / / x m o d u l o . c o m / b l o c k - n e t w o r k - t r a f f i c - b y - c o u n t r y - l i n u x . h t m l 作 者 ： D a n   N a n n i   译 者 ： F S S l c   校 对 ： w x y 本 文 由   L C T T   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 参 考 原 文 ： h t t p : / / x m o d u l o . c o m / b l o c k - n e t w o r k - t r a f f i c - b y - c o u n t r y - l i n u x . h t m l   作 者 ：   D a n   N a n n i   编 译 文 章 ： L C T T   h t t p s : / / l i n u x . c n / a r t i c l e - 6 8 8 5 - 1 . h t m l   译 者 ：   F S S l c   推 荐 文 章 推 荐 文 章 I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 3 0 2 0 0 2 年 ， 程 序 员 和   U n i x   大 神 们 的 桌 面 长 啥 样 ？ 7 1 1 工 程 师 真 是 好 的 结 婚 对 象 么 ？ 8 0 8 G N U 宣 言 发 表 三 十 周 年 $   s u d o   f i r e w a l l - c m d   - - d i r e c t   - - a d d - r u l e   i p v 4   f i l t e r   I N P U T   0   - m   g e o i p   - - s r c - c c   Y E , Z M   - j   D R O P $   s u d o   f i r e w a l l - c m d   - - d i r e c t   - - a d d - r u l e   i p v 4   f i l t e r   O U T P U T   0   - m   g e o i p   - - d s t - c c   C N   - j   D R O P $   s u d o   f i r e w a l l - c m d   - - d i r e c t   - - a d d - r u l e   i p v 4   f i l t e r   I N P U T   0   - m   g e o i p   !   - - s r c - c c   U S   - j   D R O P
1 1 2 6 为 什 么 优 秀 开 发 者 进 入 G o o g l e 后 就 不 参 与 开 源 了 ？ 3 5 0 4 自 己 动 手 开 发 一 个   W e b   服 务 器 （ 一 ） I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 谢 谢 阅 读 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理