在 Ubuntu 中删除所有 TCP 连接（已建立、相关）

Question

您必须在状态接受规则之前测试黑名单，否则您的测试将永远无法达到，因为它是短路。

代替：

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -m set --match-set Blacklist src -j DROP

颠倒它们的顺序：

iptables -A INPUT -m set --match-set Blacklist src -j DROP
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

您现在可以通过在第一个位置插入规则来执行此操作：

iptables -I INPUT -m set --match-set Blacklist src -j DROP

您也可以这样做，而不是上面的操作：

conntrack使用命令及其-D/--delete命令删除 conntrack 条目

一旦删除该条目，连接将通过 NEW 状态恢复（因为 Netfilter 已将 TCP 设置为恢复模式默认情况下），并且仍应被黑名单阻止，处于第二位，除非服务器先回复，从而重新建立连接。因此必须执行以下其中一项操作：
终止套接字（不终止进程，但显然让进程在此套接字上获取错误ECONNABORTED）

较新的 Linux 内核可以ss --kill使用其内置的过滤逻辑强制终止套接字。示例（源和目标始终从本地系统查看，因此反转。还请注意括号之间的空格）：
```
ss --kill -tn 'dst == 192.0.2.2 and ( sport == 80 or sport == 443 )'
```
（或者仅仅是目的地，无论如何它都与攻击者有关）。

与此不同tcpkill，它不涉及向任何地方发送自定义数据包，而是直接使用内核 API 对套接字执行。

例如，如果黑名单是单个 IP 地址的列表，则可以这样做以从 conntrack 状态中删除所有攻击者 IP 地址和套接字状态。

ipset save Blacklist | awk '/^add/ { print $3 }' | 
    while read ip; do
        conntrack -D -s $ip
        ss -K -n dst $ip
        conntrack -D -s $ip # again: in case of race between two previous
    done

如果脚本将条目添加到黑名单（通常类似于失败2ban和actionban = ipset ...中的/etc/fail2ban/action.d/iptables-ipset-proto4.conf）被更改为每次运行conntrack和ss命令时也运行，那么您不必反转 INPUT 规则，并且可以节省一些 CPU 和内存（防火墙中节省一点，而nginx）。

如果不关闭套接字，服务器迟早会发射处于连接跟踪状态 NEW 的数据包（尽管没有 TCP SYN 标志），它将重新建立连接跟踪一旦攻击者回复（仍然处于已建立的 TCP 连接中），则进入 ESTABLISHED 状态。这取决于此切换默认情况下是宽松的：

nf_conntrack_tcp_loose- 布尔值

0 - 已禁用

非 0-启用（默认）

如果将其设置为零，我们将禁用拾取已经建立的连接。

这就是 OP 案例中连接被“恢复”的原因。为了避免这种情况发生（并改为获取 INVALID 状态）：

sysctl -w net.netfilter.nf_conntrack_tcp_loose=0

这将阻止连接在之后恢复conntrack -F （包括远程 SSH！，因此最好-D按上述方式使用）。启用此功能可能仅对重新启动的防火墙路由器最有用。

Answer 1