使用 Linux Debian Bookworm。
问题
我想阻止来自特定国家/地区的所有传入连接到我的服务器。
编辑
正如有人在评论中指出的那样，我真的不应该使用 iptables 这样做，因为一旦它阻止的 IP 地址列表增长到无法管理的大小（例如数千个 IP 地址），这将使我的服务器停止运行。相反，我应该使用ipset（阻止整个范围）。问题在于它取决于我需要定期下载的列表。我想要我设置过一次的东西（最好）。
那么如何阻止来自特定国家/地区的连接呢？来自中国和俄罗斯的流量（有时是暴力攻击）正在失控。他们经常让我的服务器瘫痪。他们不遵守 robots.txt 文件，并且非常积极地抓取网站（同时有数百个、有时数千个连接）。我真的需要阻止这种情况。我的猜测是，我的服务器处理的所有流量中 90% 以上都是恶意/格式错误的。
编辑2
我找到了一些在线教程（比如这个）如何做到这一点，但这些教程似乎很旧。此外，它还需要下载和编译/安装一些模块。我担心这可能会在未来中断（当更新/升级其他软件包甚至发行版时）或者可能成为未来的安全风险。我使我的服务器保持最新状态（通过定期运行 apt-get update / apt-get Upgrade / apt-get dist-upgrade ）。
原始信息
我在网上找到了一个脚本（简而言之）每秒获取已建立连接的 IP 地址列表，然后使用 geoiplookup 获取 IP 地址的国家/地区。如果国家/地区位于您想要阻止的国家/地区列表中，它会使用 iptables 将 IP 地址添加到您的防火墙过滤器中。我对脚本做了一些细微的更改（使其更具可读性，因为我对这个脚本每次阻止 IP 地址时都会向我发送电子邮件不感兴趣）。然后该脚本通过 crontab 每分钟运行一次：
#!/bin/bash
# Script found on lautenbacher.io"
end=$((SECONDS+55))
while [ $SECONDS -lt $end ]; do
echo $SECONDS
netstat -ant | egrep ':.*ESTABLISHED' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c > testcc.txt
sed 's/^[ t]*//' -i testcc.txt
sed '/^$/d' -i testcc.txt
while read c d; do
if [[ $c > "0" ]]; then
bGF1dGVuYmFjaGVyLmlv=$(geoiplookup $d | awk -v ip="$d" '{FS=" "} {if($4 == "RU," || $4 == "CN," || $4 == "BLR,") {print 1}}')
if [[ $bGF1dGVuYmFjaGVyLmlv = "1" ]]; then
echo "running geolookup"
echo checking ip $d
geoiplookup $d
isCloudflare=0
# The original script made an exception for CLOUDFLARE. I don't want that exception
# bGF1dGVuYmFjaGVyLmlX=$(whois $d)
# if [[ "$bGF1dGVuYmFjaGVyLmlX" == *"CLOUDFLARE "* ]]; then
# isCloudflare=1
# echo Cloudflare detected
# fi
if [[ "$isCloudflare" != 1 ]]; then
echo try to add ip $d to blocklist
sudo iptables -I INPUT -s $d -j DROP
### I would like to sever the connection here ###
fi
fi
fi
done < testcc.txt
sleep 1
:
done
顺便说一句，我不知道为什么脚本的作者使用如此奇怪的变量名称（“bGF1dGVuYmFjaGVyLmlv”）。
无论如何，问题是每当它发现与来自被禁止国家的 IP 地址的连接时，它就会运行
sudo iptables -I INPUT -s $d -j DROP
在IP地址上。这一切都很好，但大多数连接都有些持久，这意味着一秒钟后会找到相同的 IP 地址并再次使用 iptables 添加。我不确定会发生什么（它会创建重复的规则吗？），但我想在使用 iptables 添加 ipaddress 后立即删除连接。
简而言之：如何终止具有 IP 地址的连接？
