主页 / server / 问题 / 1144095
Accepted
Zippy1970
Asked: 2023-09-20 20:21:17 +0800 CST

阻止来自特定国家/地区的流量。如何终止现有连接？

  • 772

使用 Linux Debian Bookworm。

问题

我想阻止来自特定国家/地区的所有传入连接到我的服务器。

编辑

正如有人在评论中指出的那样，我真的不应该使用 iptables 这样做，因为一旦它阻止的 IP 地址列表增长到无法管理的大小（例如数千个 IP 地址），这将使我的服务器停止运行。相反，我应该使用ipset（阻止整个范围）。问题在于它取决于我需要定期下载的列表。我想要我设置过一次的东西（最好）。

那么如何阻止来自特定国家/地区的连接呢？来自中国和俄罗斯的流量（有时是暴力攻击）正在失控。他们经常让我的服务器瘫痪。他们不遵守 robots.txt 文件，并且非常积极地抓取网站（同时有数百个、有时数千个连接）。我真的需要阻止这种情况。我的猜测是，我的服务器处理的所有流量中 90% 以上都是恶意/格式错误的。

编辑2

我找到了一些在线教程（比如这个）如何做到这一点，但这些教程似乎很旧。此外，它还需要下载和编译/安装一些模块。我担心这可能会在未来中断（当更新/升级其他软件包甚至发行版时）或者可能成为未来的安全风险。我使我的服务器保持最新状态（通过定期运行 apt-get update / apt-get Upgrade / apt-get dist-upgrade ）。

原始信息

我在网上找到了一个脚本（简而言之）每秒获取已建立连接的 IP 地址列表，然后使用 geoiplookup 获取 IP 地址的国家/地区。如果国家/地区位于您想要阻止的国家/地区列表中，它会使用 iptables 将 IP 地址添加到您的防火墙过滤器中。我对脚本做了一些细微的更改（使其更具可读性，因为我对这个脚本每次阻止 IP 地址时都会向我发送电子邮件不感兴趣）。然后该脚本通过 crontab 每分钟运行一次：

#!/bin/bash
# Script found on lautenbacher.io"

end=$((SECONDS+55))

while [ $SECONDS -lt $end ]; do
  echo $SECONDS
  netstat -ant | egrep ':.*ESTABLISHED' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c > testcc.txt
  sed 's/^[ t]*//' -i testcc.txt
  sed '/^$/d' -i testcc.txt

  while read c d; do

    if [[ $c > "0" ]]; then
      bGF1dGVuYmFjaGVyLmlv=$(geoiplookup $d | awk -v ip="$d" '{FS=" "} {if($4 == "RU," || $4 == "CN," || $4 == "BLR,") {print 1}}')

      if [[ $bGF1dGVuYmFjaGVyLmlv = "1" ]]; then
        echo "running geolookup"
        echo checking ip $d
        geoiplookup $d

        isCloudflare=0
        # The original script made an exception for CLOUDFLARE. I don't want that exception
        # bGF1dGVuYmFjaGVyLmlX=$(whois $d)
        # if [[ "$bGF1dGVuYmFjaGVyLmlX" == *"CLOUDFLARE "* ]]; then
        #  isCloudflare=1
        #  echo Cloudflare detected
        # fi

        if [[ "$isCloudflare" != 1 ]]; then
          echo try to add ip $d to blocklist
          sudo iptables -I INPUT -s $d -j DROP
          ### I would like to sever the connection here ###
        fi

      fi

    fi
  done < testcc.txt

  sleep 1
    :
done

顺便说一句，我不知道为什么脚本的作者使用如此奇怪的变量名称（“bGF1dGVuYmFjaGVyLmlv”）。

无论如何，问题是每当它发现与来自被禁止国家的 IP 地址的连接时，它就会运行

sudo iptables -I INPUT -s $d -j DROP

在IP地址上。这一切都很好，但大多数连接都有些持久，这意味着一秒钟后会找到相同的 IP 地址并再次使用 iptables 添加。我不确定会发生什么（它会创建重复的规则吗？），但我想在使用 iptables 添加 ipaddress 后立即删除连接。

简而言之：如何终止具有 IP 地址的连接？

linux

1 个回答

  1. Best Answer

    几年来，Linux 内核一直有一个 API 可以强制终止现有的 IP 套接字，无论其状态如何。可以使用ss命令及其过滤器语法来完成：

    -K,--kill

    尝试强行关闭套接字。该选项显示已成功关闭的套接字，并静默跳过内核不支持关闭的套接字。它仅支持 IPv4 和 IPv6 套接字。

    您可以替换：

    ### I would like to sever the connection here ###

    和：

    ss --kill -n dst = "$d"

    需要过滤器 ( )，因为该命令将终止显示的任何套接字。dst = ...如果没有过滤器，那就超出了要求。本地进程可能会在其套接字上遇到罕见的错误，例如ECONNABORTED。远程节点可能会收到 TCP RST 通知，除非还（临时）添加了 OUTPUT 规则来阻止它。

    另请参阅此问答（我在其中做了回答）：在 Ubuntu 中删除所有 TCP 连接（已建立、相关） ，其中 OP 尝试使用ipset来防止攻击（并且还存在陈旧连接和状态防火墙的问题）。

    • 1

相关问题