如何阻止向特定域发出请求的 IP？

Question 1

为禁域创建一个虚拟主机。它将需要自己的目录（可在多个禁域之间共享）。作为默认内容，使用此 index.php：

<?php
// contents of FORBIDDEN.YourDomain.com/index.php
// spits out one UDP packet at the web visitor's port 911
// the 911 packet is intended to be detected, processed and dropped with firewall rules
$remoteaddr = $_SERVER['REMOTE_ADDR'];
$sock = socket_create(AF_INET, SOCK_DGRAM, SOL_UDP);
socket_sendto($sock, "NOPE", 4, 0, $remoteaddr, 911);
socket_close($sock);

现在是防火墙规则。

（A）首先创建一个新的ipset（超时：1天=86400秒）

/usr/sbin/ipset create ipset_temp_blocklist \
    hash:ip \
        family inet \
        hashsize 4096 \
        maxelem 65536 \
        timeout 86400 \
        counters \
        comment

（B）然后创建一个新的 iptables 规则链

/usr/sbin/iptables -N ADD_TEMP_BAN

（可选）链式规则 1：记录有问题的数据包

/usr/sbin/iptables -A ADD_TEMP_BAN -j NFLOG --nflog-prefix "add-temp-ban="

链式规则 2：将违规者（‘911’ UDP 数据包的目的地）添加到阻止列表 ipset

/usr/sbin/iptables -A ADD_TEMP_BAN -j SET --add-set ipset_temp_blocklist dst

链式规则 3：链式规则结束：直接丢弃 UDP 数据包

/usr/sbin/iptables -A ADD_TEMP_BAN -j DROP

（C）现在，当我们看到传出的“911”UDP 数据包时，调用新的规则链

/usr/sbin/iptables -A OUTPUT -p udp -dport 911 -j ADD_TEMP_BAN

（D）现在使用阻止列表，添加一条规则以丢弃来自列出的 IP 地址的所有传入 Web 服务的数据包

/usr/sbin/iptables -A INPUT -i eth0 -p tcp -m multiport --dports 80,443 -m set --match-set ipset_temp_blocklist src -j DROP

请注意，最后一条规则执行以下操作：

附加到 INPUT 规则链的末尾（您可能希望将其放在规则的前面）
仅适用于接口“eth0”上的数据包（您可能更喜欢“全部”或其他接口）
仅协议 tcp（'-p all' 将阻止所有内容、ping 等）
只有 TCP 数据包才会发往端口 80 和 443（如果使用的话，您可以添加 8080，等等）
仅限来源在阻止列表中的数据包
丢弃该数据包。

你可以像这样列出被阻止的 IP：

/usr/sbin/ipset list ipset_temp_blocklist 

    Name: ipset_temp_blocklist
    Type: hash:ip
    Revision: 4
    Header: family inet hashsize 1024 maxelem 65536 timeout 864000 counters
    Size in memory: 123880
    References: 2
    Number of entries: 1331
    Members:
    xx.35.112.155 timeout 528177 packets 4 bytes 240
    xx.199.52.104 timeout 681175 packets 4 bytes 240
    xx.230.7.65 timeout 490347 packets 4 bytes 240
    xx.63.11.235 timeout 782713 packets 5 bytes 300
    xx.159.102.65 timeout 351110 packets 1 bytes 40
    xx.206.244.232 timeout 837758 packets 4 bytes 240
    xx.162.105.161 timeout 490665 packets 3 bytes 180

并查看 iptables 链的活动，如下所示（数字为 [packets:bytes]）：

/usr/sbin/iptables-save -c | grep -E "ADD_TEMP_BAN|ipset_temp_blocklist"

    :ADD_TEMP_BAN - [0:0]
    [1333:73200] -A OUTPUT -p udp -dport 911 -j ADD_TEMP_BAN
    [1333:73200] -A ADD_TEMP_BAN -j NFLOG --nflog-prefix  "add-temp-ban="
    [1333:73200] -A ADD_TEMP_BAN -j SET --add-set ipset_temp_blocklist dst
    [1333:73200] -A ADD_TEMP_BAN -j DROP
    [5187:305169] -A INPUT -i eth0 -p tcp -m multiport --dports 80,443 -m set --match-set ipset_temp_blocklist src -j DROP

依口味调整。

Answer