☰

阻止来自特定国家的流量。如何终止现有连接？

tag-icon • tag-icon linux debian iptables bash netstat
阻止来自特定国家的流量。如何终止现有连接？

使用 Linux Debian Bookworm。

问题

我想阻止来自特定国家/地区的所有传入连接到我的服务器。

编辑

正如有人在评论中指出的那样，我真的不应该使用 iptables 来做这件事，因为一旦它阻止的 IP 地址列表增长到无法管理的大小（例如数千个 IP 地址），我的服务器就会陷入停顿。相反，我应该使用ipset（来阻止整个范围）。问题在于它取决于我需要定期下载的列表。我想要一次性设置的东西（最好）。

那么我怎样才能阻止来自特定国家的连接？来自中国和俄罗斯的流量（有时是暴力攻击）已经失控。它们经常让我的服务器瘫痪。它们不遵守 robots.txt 文件，并且非常积极地抓取网站（同时有数百个，有时是数千个连接）。我真的需要阻止这种情况。我估计我的服务器处理的所有流量中有超过 90% 是恶意/格式错误的。

编辑2

我找到了一些在线教程（像这个) 如何做到这一点，但这些教程似乎已经很旧了。此外，它需要下载和编译/安装一些模块。我担心这可能会在将来出现问题（在更新/升级其他软件包甚至发行版时）或可能在将来成为安全风险。我通过定期运行 apt-get update / apt-get upgrade / apt-get dist-upgrade 来保持我的服务器最新和最新。

原始信息

我在网上找到了一个脚本，它（简而言之）每秒获取已建立连接的 IP 地址列表，然后使用 geoiplookup 获取 IP 地址的国家/地区。如果国家/地区在您想要阻止的国家/地区列表中，它会使用 iptables 将 IP 地址添加到您的防火墙过滤器中。我对脚本做了一些细微的更改（使其更具可读性，因为我不希望这个脚本每次阻止 IP 地址时都向我发送电子邮件）。然后，此脚本每分钟通过 crontab 运行一次：

#!/bin/bash
# Script found on lautenbacher.io"

end=$((SECONDS+55))

while [ $SECONDS -lt $end ]; do
  echo $SECONDS
  netstat -ant | egrep ':.*ESTABLISHED' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c > testcc.txt
  sed 's/^[ t]*//' -i testcc.txt
  sed '/^$/d' -i testcc.txt

  while read c d; do

    if [[ $c > "0" ]]; then
      bGF1dGVuYmFjaGVyLmlv=$(geoiplookup $d | awk -v ip="$d" '{FS=" "} {if($4 == "RU," || $4 == "CN," || $4 == "BLR,") {print 1}}')

      if [[ $bGF1dGVuYmFjaGVyLmlv = "1" ]]; then
        echo "running geolookup"
        echo checking ip $d
        geoiplookup $d

        isCloudflare=0
        # The original script made an exception for CLOUDFLARE. I don't want that exception
        # bGF1dGVuYmFjaGVyLmlX=$(whois $d)
        # if [[ "$bGF1dGVuYmFjaGVyLmlX" == *"CLOUDFLARE "* ]]; then
        #  isCloudflare=1
        #  echo Cloudflare detected
        # fi

        if [[ "$isCloudflare" != 1 ]]; then
          echo try to add ip $d to blocklist
          sudo iptables -I INPUT -s $d -j DROP
          ### I would like to sever the connection here ###
        fi

      fi

    fi
  done < testcc.txt

  sleep 1
    :
done

顺便说一句，我不知道为什么脚本的作者使用如此奇怪的变量名（“bGF1dGVuYmFjaGVyLmlv”）。

无论如何，问题是，只要它发现来自被禁国家的 IP 地址的连接，它就会运行

sudo iptables -I INPUT -s $d -j DROP

在 IP 地址上。这一切都很好，但大多数这些连接都有些持久性，这意味着一秒钟后会找到相同的 IP 地址，并再次使用 iptables 添加。我不确定会发生什么（它会创建重复的规则吗？），但我想在使用 iptables 添加 IP 地址后立即断开连接。

简而言之：我如何才能终止具有 IP 地址的所有连接？

答案1

几年来，Linux 内核一直有一个 API，用于强制终止现有的 IP 套接字，无论其状态如何。可以使用ss命令及其过滤器语法：

-K，--kill

尝试强制关闭套接字。此选项显示已成功关闭的套接字，并静默跳过内核不支持关闭的套接字。它仅支持 IPv4 和 IPv6 套接字。

您可以替换：

### I would like to sever the connection here ###

和：

ss --kill -n dst = "$d"

这筛选（dst = ...）是必需的，因为该命令将终止将显示的任何套接字。如果没有过滤器，那么要求的将更多。本地进程可能会在其套接字上出现罕见的错误，例如ECONNABORTED。除非还（暂时）添加了 OUTPUT 规则来阻止它，否则远程节点可能会收到 TCP RST 通知。

另请参阅此问答（我在其中做出了回答）：在 Ubuntu 中删除所有 TCP 连接（已建立、相关），OP 尝试使用ipset（并且还存在陈旧连接和状态防火墙的问题）。

相关内容