搜索

[23611] 2015-02-18_如何在Linux下大量屏蔽恶意IP地址

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2015-02-18_如何在Linux下大量屏蔽恶意IP地址 如 何 在   L i n u x   下 大 量 屏 蔽 恶 意   I P   地 址 L i n u x 中 国   2 0 1 5 - 0 2 - 1 8 很 多 情 况 下 ， 你 可 能 需 要 在 L i n u x 下 屏 蔽 I P 地 址 。 比 如 ， 作 为 一 个 终 端 用 户 ， 你 可 能 想 要 免 受 间 谍 软 件 或 者 I P 追 踪 的 困 扰 。 或 者 当 你 在 运 行 P 2 P 软 件 时 。 你 可 能 想 要 过 滤 反 P 2 P 活 动 的 网 络 链 接 。 如 果 你 是 一 名 系 统 管 理 员 ， 你 可 能 想 要 禁 止 垃 圾 I P 地 址 访 问 你 们 的 公 司 邮 件 服 务 器 。 或 者 你 因 一 些 原 因 想 要 禁 止 某 些 国 家 访 问 你 的 w e b 服 务 。 在 许 多 情 况 下 ， 然 而 ， 你 的 I P 地 址 屏 蔽 列 表 可 能 会 很 快 地 增 长 到 几 万 的 I P 。 该 如 何 处 理 这 个 ？ N e t f i l t e r / I P t a b l e s   的 问 题 在 L i n u x 中 ， 可 以 很 简 单 地 用 n e t f i l t e r / i p t a b l e s 框 架 禁 止 I P 地 址 ： 1 .   $   s u d o   i p t a b l e s   - A   I N P U T   - s   1 . 1 . 1 . 1   - p   T C P   - j   D R O P   如 果 你 想 要 完 全 屏 蔽 一 个 I P 地 址 段 ， 你 可 以 用 下 面 的 命 令 很 简 单 地 做 到 ： 1 .   $   s u d o   i p t a b l e s   - A   I N P U T   - s   1 . 1 . 2 . 0 / 2 4   - p   T C P   - j   D R O P   然 而 ， 当 你 有 1 0 0 0 个 独 立 I P 地 址 ， 且 不 带 C I D R （ 无 类 别 域 间 路 由 ） 前 缀 ， 你 该 怎 么 做 ？ 你 要 有 1 0 0 0 条 i p t a b l e 规 则 ！ 这 显 然 这 并 不 适 于 大 规 模
屏 蔽 。 1 .   $   s u d o   i p t a b l e s   - A   I N P U T   - s   1 . 1 . 1 . 1   - p   T C P   - j   D R O P 2 .   $   s u d o   i p t a b l e s   - A   I N P U T   - s   2 . 2 . 2 . 2   - p   T C P   - j   D R O P 3 .   $   s u d o   i p t a b l e s   - A   I N P U T   - s   3 . 3 . 3 . 3   - p   T C P   - j   D R O P 4 .   .   .   .   .   什 么 是 I P 集 ? 这 时 候 就 是 I P 集 登 场 了 。 I P 集 是 一 个 内 核 特 性 ， 它 允 许 多 个 （ 独 立 ） I P 地 址 、 M A C 地 址 或 者 甚 至 是 端 口 号 被 编 码 和 有 效 地 存 储 在 位 图 / 哈 希 内 核 数 据 结 构 中 。 一 旦 I P 集 创 建 之 后 ， 你 可 以 创 建 一 条 i p t a b l e s 规 则 来 匹 配 这 个 集 合 。 你 马 上 就 会 看 见 I P 集 合 的 好 处 了 ， 它 可 以 让 你 用 一 条 i p t a b l e 规 则 匹 配 多 个 i p 地 址 ！ 你 可 以 用 多 个 I P 地 址 和 端 口 号 的 方 式 来 构 造 I P 集 ， 并 且 可 以 动 态 地 更 新 规 则 而 没 有 性 能 影 响 。 在 L i n u x 中 安 装 I P s e t 工 具 为 了 创 建 和 管 理 I P 集 ， 你 需 要 使 用 称 为 i p s e t 的 用 户 空 间 工 具 。 要 在 D e b i a n 、 U b u n t u 或 者 L i n u x   M i n t 上 安 装 ： 1 .   $   s u d o   a p t - g e t   i n s t a l l   i p s e t F e d o r a 或 者 C e n t O S / R H E L   7 上 安 装 ： 1 .   $   s u d o   y u m   i n s t a l l   i p s e t   使 用 I P s e t 命 令 禁 止 I P 让 我 通 过 简 单 的 示 例 告 诉 你 该 如 何 使 用 i p s e t 命 令 。 首 先 ， 让 我 们 创 建 一 条 新 的 I P 集 ， 名 为 b a n t h i s （ 名 字 任 意 ） ： 1 .   $   s u d o   i p s e t   c r e a t e   b a n t h i s   h a s h : n e t 第 二 个 参 数 ( h a s h : n e t ) 是 必 须 的 ， 代 表 的 是 集 合 的 类 型 。 I P 集 有 多 个 类 型 。 h a s h : n e t 类 型 的 I P 集 使 用 哈 希 来 存 储 多 个 C I D R 块 。 如 果 你 想 要 在 一 个 集 合 中 存 储 单 独 的 I P 地 址 ， 你 可 以 使 用 h a s h : i p 类 型 。 一 旦 创 建 了 一 个 I P 集 之 后 ， 你 可 以 用 下 面 的 命 令 来 检 查 ： 1 .   $   s u d o   i p s e t   l i s t  
这 显 示 了 一 个 可 用 的 I P 集 合 列 表 ， 并 有 包 含 了 集 合 成 员 的 详 细 信 息 。 默 认 上 ， 每 个 I P 集 合 可 以 包 含 6 5 5 3 6 个 元 素 （ 这 里 是 C I D R 块 ） 。 你 可 以 通 过 追 加 " m a x e l e m   N " 选 项 来 增 加 限 制 。 1 .   $   s u d o   i p s e t   c r e a t e   b a n t h i s   h a s h : n e t   m a x e l e m   1 0 0 0 0 0 0   现 在 让 我 们 来 增 加 I P 块 到 这 个 集 合 中 ： 1 .   $   s u d o   i p s e t   a d d   b a n t h i s   1 . 1 . 1 . 1 / 3 2 2 .   $   s u d o   i p s e t   a d d   b a n t h i s   1 . 1 . 2 . 0 / 2 4 3 .   $   s u d o   i p s e t   a d d   b a n t h i s   1 . 1 . 3 . 0 / 2 4 4 .   $   s u d o   i p s e t   a d d   b a n t h i s   1 . 1 . 4 . 1 0 / 2 4   你 会 看 到 集 合 成 员 已 经 改 变 了 。 1 .   $   s u d o   i p s e t   l i s t   现 在 是 时 候 去 创 建 一 个 使 用 I P 集 的 i p t a b l e s 规 则 了 。 这 里 的 关 键 是 使 用 " - m   s e t   - - m a t c h - s e t   " 选 项 。 现 在 让 我 们 创 建 一 条 让 之 前 那 些 I P 块 不 能 通 过 8 0 端 口 访 问 w e b 服 务 的 i p t a b l e 规 则 。 可 以 通 过 下 面 的 命 令 ： 1 .   $   s u d o   i p t a b l e s   - I   I N P U T   - m   s e t   - - m a t c h - s e t   b a n t h i s   s r c   - p   t c p   - - d e s t i n a t i o n - p o r t   8 0   - j   D R O P   如 果 你 愿 意 ， 你 可 以 保 存 特 定 的 I P 集 到 一 个 文 件 中 ， 以 后 可 以 从 文 件 中 还 原 ： 1 .   $   s u d o   i p s e t   s a v e   b a n t h i s   - f   b a n t h i s . t x t 2 .   $   s u d o   i p s e t   d e s t r o y   b a n t h i s
3 .   $   s u d o   i p s e t   r e s t o r e   - f   b a n t h i s . t x t   上 面 的 命 令 中 ， 我 使 用 了 d e s t o r y 选 项 来 删 除 一 个 已 有 的 I P 集 来 看 看 我 是 否 可 以 还 原 它 。 自 动 I P 地 址 禁 用 现 在 你 应 该 看 到 了 I P 集 合 的 强 大 了 。 维 护 I P 黑 名 单 是 一 件 繁 琐 和 费 时 的 工 作 。 实 际 上 ， 有 很 多 免 费 或 者 收 费 的 服 务 可 以 来 帮 你 完 成 这 个 。 一 个 额 外 的 好 处 是 ， 让 我 们 看 看 如 何 自 动 将 I P 黑 名 单 加 到 I P 集 中 。 首 先 让 我 们 从 i b l o c k l i s t . c o m 得 到 免 费 的 黑 名 单 ， 这 个 网 站 有 不 同 的 免 费 和 收 费 的 名 单 。 免 费 的 版 本 是 P 2 P 格 式 。 接 下 来 我 要 使 用 一 个 名 为 i b l o c k l i s t 2 i p s e t 的 开 源 P y t h o n 工 具 来 将 P 2 P 格 式 的 黑 名 单 转 化 成 I P 集 。 首 先 ， 你 需 要 安 装 了 p i p （ 参 考 这 个 指 导 来 安 装 p i p ） 。 使 用 的 下 面 命 令 安 装 i b l o c k l i s t 2 i p s e t 。 1 .   $   s u d o   p i p   i n s t a l l   i b l o c k l i s t 2 i p s e t 在 一 些 发 行 版 如 F e d o r a ， 你 可 能 需 要 运 行 ： 1 .   $   s u d o   p y t h o n - p i p   i n s t a l l   i b l o c k l i s t 2 i p s e t   现 在 到 i b l o c k l i s t . c o m ， 抓 取 任 何 一 个 P 2 P 列 表 的 U R L （ 比 如 " l e v e l 1 " 列 表 ） 。 粘 帖 U R L 到 下 面 的 命 令 中 。 1 .   $   i b l o c k l i s t 2 i p s e t   g e n e r a t e   2 .   - - i p s e t   b a n t h i s   " h t t p : / / l i s t . i b l o c k l i s t . c o m / ? l i s t = y d x e r p x k p c f q j a y b c s s w & f i l e f o r m a t = p 2 p & a r c h i v e f o r m a t = g z "   3 .   >   b a n t h i s . t x t   上 面 的 命 令 运 行 之 后 ， 你 会 得 到 一 个 名 为 b a n t h i s . t x t 的 文 件 。 如 果 查 看 它 的 内 容 ， 你 会 看 到 像 这 些 ： 1 .   c r e a t e   b a n t h i s   h a s h : n e t   f a m i l y   i n e t   h a s h s i z e   1 3 1 0 7 2   m a x e l e m   2 3 7 3 0 2
2 .   a d d   b a n t h i s   1 . 2 . 4 . 0 / 2 4 3 .   a d d   b a n t h i s   1 . 2 . 8 . 0 / 2 4 4 .   a d d   b a n t h i s   1 . 9 . 7 5 . 8 / 3 2 5 .   a d d   b a n t h i s   1 . 9 . 9 6 . 1 0 5 / 3 2 6 .   a d d   b a n t h i s   1 . 9 . 1 0 2 . 2 5 1 / 3 2 7 .   a d d   b a n t h i s   1 . 9 . 1 8 9 . 6 5 / 3 2 8 .   a d d   b a n t h i s   1 . 1 6 . 0 . 0 / 1 4 你 可 以 用 下 面 的 i p s e t 命 令 来 加 载 这 个 文 件 ： 1 .   $   s u d o   i p s e t   r e s t o r e   - f   b a n t h i s . t x t 现 在 可 以 查 看 自 动 创 建 的 I P 集 ： 1 .   $   s u d o   i p s e t   l i s t   b a n t h i s   在 写 这 篇 文 章 时 候 ， “ l e v e l 1 ” 类 表 包 含 了 2 3 7 , 0 0 0 个 屏 蔽 的 I P 列 表 。 你 可 以 看 到 很 多 I P 地 址 已 经 加 入 到 I P 集 中 了 。 最 后 ， 创 建 一 条 i p t a b l e s 命 令 来 屏 蔽 这 些 坏 蛋 ！ 总 结 这 篇 文 章 中 ， 我 描 述 了 你 该 如 何 用 强 大 的 i p s e t 来 屏 蔽 不 想 要 的 I P 地 址 。 同 时 结 合 了 第 三 方 工 具 i b l o c k l i s t 2 i p s e t ， 这 样 你 就 可 以 流 畅 地 维 护 你 的 I P 屏 蔽 列 表 了 。 那 些 对 i p s e t 的 性 能 提 升 好 奇 的 人 ， 下 图 显 示 了 i p t a b l e s 在 使 用 和 不 使 用 i p s e t 的 基 准 测 试 结 果 （ 注 意 时 间 坐 标 轴 ） 。 告 诉 我 你 多 么 喜 欢 这 个 。 : - ) v i a :   h t t p : / / x m o d u l o . c o m / b l o c k - u n w a n t e d - i p - a d d r e s s e s - l i n u x . h t m l 作 者 ： D a n   N a n n i   译 者 ： g e e k p i   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理