屏蔽指定国家访问

健康马m

已于 2024-07-01 09:43:21 修改

阅读量231

点赞数

CC 4.0 BY-SA版权

分类专栏： linux 文章标签：数据库

于 2024-02-04 10:40:30 首次发布

原文链接：https://close.gitbook.io/yun-wei-bi-ji/centos/iptable/firewalld-shi-yong-ipset-kuai-su-ping-bi-zhi-ding-guo-jia-de-ip-fang-wen

linux 专栏收录该内容

47 篇文章

订阅专栏

本文详细介绍了如何在Linux系统中，通过ipset扩展iptables功能，创建规则屏蔽特定国家的IP段，包括安装ipset、创建和管理规则，以及在firewalld和iptables中应用这些规则。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

ipset是iptables的扩展，它允许你创建匹配整个IP地址集合的规则。可以快速的让我们屏蔽某个IP段。这里分享个屏蔽指定国家访问的方法，有时候还可以有效的帮网站阻挡下攻击。

更多参考: https://datacadamia.com/os/linux/firewalld

方法

首先需要得到国家IP段，下载地址：http://www.ipdeny.com/ipblocks/ 这里以我们国家为例。
1.安装ipset
yum -y install ipset
2.创建规则
#创建一个名为cnblocks的规则
ipset -N cnblocks hash:net
#下载国家IP段到当前目录
wget -P . http://www.ipdeny.com/ipblocks/data/countries/cn.zone
#将IP段添加到cnblocks规则中(firewalld)
for i in $(cat /root/cn.zone ); firewall-cmd --permanent --ipset=cnblocks --add-entry=$i; done

CentOS7中自带的是firewalld,添加到规则中时用上面这条命令 如果你换成了iptables,那就用下面这条命令
#将IP段添加到cnblocks规则中(iptables)
for i in $(cat /root/cn.zone ); do ipset -A cnblocks $i; done
3.开始屏蔽
#firewalld
firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source ipset=cnblocks drop'
firewall-cmd --reload
 
#iptables
iptables -I INPUT -p tcp -m set --match-set cnblocks src -j DROP
service iptables save
4.解除屏蔽
#firewalld
firewall-cmd --permanent --remove-rich-rule='rule family=ipv4 source ipset=cnblocks drop'
firewall-cmd --permanent --delete-ipset=cnblocks
firewall-cmd --reload
 
#iptables
iptables -D INPUT -p tcp -m set --match-set cnblocks src -j DROP
ipset destroy cnblocks
service iptables save

或者

新建ipset
firewall-cmd --permanent --new-ipset=blacklist --type=hash:net --option=family=inet --option=hashsize=4096 --option=maxelem=200000
下载 ip段文件
wget http://www.ipdeny.com/ipblocks/data/countries/all-zones.tar.gz
tar -vxzf all-zones.tar.gz
将你想屏蔽的国家加入ipset集合中
firewall-cmd --permanent --ipset=blacklist --add-entries-from-file=./gr.zone
将blacklist集合 定向到 drop区域
firewall-cmd --permanent --zone=drop --add-source=ipset:blacklist
生效
firewall-cmd --reload
手动添加ip进入blacklist
firewall-cmd --permanent --ipset=blacklist --add-entry=IP地址
firewall-cmd --reload