用过ipset的朋友应该知道,在ip数量非常多的情况下,使用ipset来做防火墙的白名单或者黑名单是非常方便的,在centos6系列及以上的系统中安装ipset都很简单,直接使用yum命令安装即可,但是在centos5系统中ipset就无法使用yum安装了,只能手动编译,而且由于官方源代码包的安装说明太过于简单了,之前好几次安装都以失败告终了,直到最近服务器老是受到攻击,才彻底研究了一下,现将整个安装的过程记录下来,希望也能给有需要的朋友一个参考。
- 安装内核源代码
- 编译安装ipset
- 升级iptables
- 配置ipset管理脚本,并设置开机自启动
- 使用ipset和iptables实现ip白名单
- ipset4.5常用命令
1、安装内核源代码
在ipset4.5安装包的README文件中要求内核版本为(version >= 2.6.16 or 2.4.36.x)原则上centos5系列的操作系统应该都满足要求,如不满足则使用yum升级内核即可
#编译ipset4.5需要依赖内核源代码,使用yum安装kernel-devel即可
yum install kernel-devel
#查看安装是否成功
rpm -qa | grep kernel
kernel-headers-2.6.18-419.el5
kernel-2.6.18-398.el5
kernel-devel-2.6.18-419.el5
#安装好的内核源代码路径
ls -1 /usr/src/kernels/2.6.18-419.el5-x86_64/
arch
block
crypto
drivers
fs
include
init
ipc
kabi_whitelist
kernel
lib
Makefile
mm
Module.kabi
Module.markers
Module.symvers
net
samples
scripts
security
sound
symsets-2.6.18-419.el5.tar.gz
usr
2、编译安装ipset
#下载ipset4.5
https://github.com/Olipro/ipset/tree/v4.5
unzip ipset-4.5.zip
cd ipset-4.5
#开始编译 KERNEL_DIR 为内核源代码的路径
make KERNEL_DIR=/usr/src/kernels/2.6.18-419.el5-x86_64
make KERNEL_DIR=/usr/src/kernels/2.6.18-419.el5-x86_64 install
make KERNEL_DIR=/usr/src/kernels/2.6.18-419.el5-x86_64 clean
make KERNEL_DIR=/usr/src/kernels/2.6.18-419.el5-x86_64 binaries
make KERNEL_DIR=/usr/src/kernels/2.6.18-419.el5-x86_64 binaries_install
make KERNEL_DIR=/usr/src/kernels/2.6.18-419.el5-x86_64 patch_kernel
#编译好的ipset模块,存放于extra目录中
cd /lib/modules/2.6.18-419.el5/extra
ls -1
ip_set_iphash.ko
ip_set_ipmap.ko
ip_set_ipporthash.ko
ip_set_ipportiphash.ko
ip_set_ipportnethash.ko
ip_set_iptree.ko
ip_set_iptreemap.ko
ip_set.ko
ip_set_macipmap.ko
ip_set_nethash.ko
ip_set_portmap.ko
ip_set_setlist.ko
ipt_set.ko
ipt_SET.ko
#将extra目录下的所有模块使用insmod命令导入(注意:insmod导入的模块,服务器重启后会失效)想要开机自动导入ipset模块,请看后文中第四步的管理脚本,使用管理脚本加入rc.local文件的方式来开机自动导入模块(这一步官方README的安装过程就没有提及)
insmod ip_set.ko
insmod ip_set_iphash.ko
insmod ip_set_ipmap.ko
insmod ip_set_ipporthash.ko
insmod ip_set_ipportiphash.ko
insmod ip_set_ipportnethash.ko
insmod ip_set_iptree.ko
insmod ip_set_iptreemap.ko
insmod ip_set_macipmap.ko
insmod ip_set_nethash.ko
insmod ip_set_portmap.ko
insmod ip_set_setlist.ko
insmod ipt_set.ko
insmod ipt_SET.ko
3、升级iptables
#默认的iptables是1.3.5版本的,不支持ipset模块,需要升级到1.4版本
rpm -qa | grep iptables
iptables-1.3.5-9.2.el5_8
iptables-ipv6-1.3.5-9.2.el5_8
#下载iptables
wget https://netfilter.org/projects/iptables/files/iptables-1.4.21.tar.bz2
#编译升级iptables
tar -xjf iptables-1.4.21.tar.bz2
cd iptables-1.4.21
./configure && make && make install
cd /usr/local/sbin/
cp iptables /sbin/
cp iptables-restore /sbin/
cp iptables-save /sbin/
#验证是否升级成功
iptables -V
iptables v1.4.21
4、创建ipset管理脚本并设置开机自启动
4.1 创建管理脚本
ipset4.5源码包目录下并没有提供管理脚本,为了后期使用方便,所以特意写了这个管理脚本
touch /etc/init.d/ipset
chmod 755 /etc/init.d/ipset
4.2 开机自启动(也就是开机自动导入ipset模块)
echo '/etc/init.d/ipset start' >> /etc/rc.local
echo '/etc/init.d/iptables start' >> /etc/rc.local
这里添加了ipset的开机启动,但是为什么还需要添加iptables的启动脚本呢,这是因为如果在防火墙规则中引用了ipset集合,那么ipset就必须要比iptables先启动,所以这里ipset启动后,必须再次启动iptables,这样防火墙才能正常工作
4.3 脚本内容
脚本有一处需要根据你的服务器真实情况进行修改,即ipset编译后的模块路径需要修改为你的真实路径,下面代码中也注释了
脚本使用方法:service ipset start|stop|restart|save|status
或者是:/etc/init.d/ipset start|stop|restart|save|status
#!/bin/bash
# chkconfig: 2345 07 93
# description: start stops and save ipset
# processname: ipset
# config: /etc/sysconfig/ipset
RETVAL=0
IPSET=ipset
IPSET_BIN=/usr/local/sbin/$IPSET
IPSET_DATA=/etc/sysconfig/$IPSET
[ $EUID != 0 ] && { echo 'not the root user'; exit 1; }
print_log() {
echo -n "$1"
echo -ne "\t\t\t\t["
if [[ $2 == "OK" ]]; then
echo -ne "\033[32m $2 \033[0m"
elif [[ $2 == "FAILED" ]]; then
echo -ne "\033[31m $2 \033[0m"
else
echo -ne "\033[33m $2 \033[0m"
fi
echo -n "]"
echo -ne "\n"
}
if_print_log() {
[[ $RETVAL -eq 0 ]] && print_log "$1" "OK" || print_log "$1" "FAILED"
}
start() {
lsmod | grep ip_set > /dev/null 2>&1
if [[ $? -ne 0 ]]; then
#此路径需要修改为ipset模块的真实路径
cd /lib/modules/2.6.18-419.el5/extra/
insmod ip_set.ko
insmod ip_set_nethash.ko
insmod ip_set_iphash.ko
insmod ip_set_ipmap.ko
insmod ip_set_ipporthash.ko
insmod ip_set_ipportiphash.ko
insmod ip_set_ipportnethash.ko
insmod ip_set_iptree.ko
insmod ip_set_iptreemap.ko
insmod ip_set_macipmap.ko
insmod ip_set_portmap.ko
insmod ip_set_setlist.ko
insmod ipt_set.ko
insmod ipt_SET.ko
fi
[[ ! -f "$IPSET_DATA" ]] && { print_log "${IPSET_DATA} does not exist" "FAILED"; exit 1; }
if [[ -n "$($IPSET_BIN -L)" ]]; then
print_log "ipset is running..." "WARNING"
else
$IPSET_BIN -R < $IPSET_DATA
RETVAL=$?
if_print_log "start ipset"
fi
}
stop() {
if [[ -n "$($IPSET_BIN -L)" ]]; then
$IPSET_BIN -X
RETVAL=$?
if_print_log "stop ipset"
else
print_log "ipset has stopped" "WARNING"
fi
}
restart() {
stop
start
}
save() {
[[ ! -f "$IPSET_DATA" ]] && { print_log "${IPSET_DATA} does not exist" "FAILED"; exit 1; }
if [[ -n "$($IPSET_BIN -L)" ]]; then
$IPSET_BIN -S > ${IPSET_DATA}
RETVAL=$?
if_print_log "ipset save config to ${IPSET_DATA}"
else
print_log "ipset is stopped" "WARNING"
fi
}
status() {
if [[ -n "$($IPSET_BIN -L)" ]]; then
$IPSET_BIN -L
else
print_log "ipset is stopped" "WARNING"
fi
}
case "$1" in
start)
start;;
stop)
stop;;
restart)
restart;;
save)
save;;
status)
status;;
*)
echo $"Usage: $0 {start|stop|restart|save|status}"
esac
exit $RETVAL
5、使用ipset和iptables实现IP白名单
安装好ipset后,我们在iptables中引用ipset实现ip白名单
白名单:即只允许指定的ip访问服务器的指定端口
#创建ipset配置文件,将ip以网段的方式写入ipset的china_ip集合中
vi /etc/sysconfig/ipset
-N china_ip nethash --hashsize 1024 --probes 4 --resize 50
-A china_ip 10.0.0.0/8
-A china_ip 127.0.0.1/31
-A china_ip 192.168.0.0/16
-A china_ip 114.114.114.114/31
-A china_ip 223.5.5.5/31
-A china_ip 8.8.8.8/31
COMMIT
#在防火墙中引用ipset,如下防火墙规则,只有在ipset的china_ip集合中的ip才能访问服务器开放的22端口
vi /etc/sysconfig/iptables
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -m set ! --match-set china_ip src -j DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp --dport 22 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -j DROP
-A FORWARD -m set ! --match-set china_ip src -j DROP
-A FORWARD -m set ! --match-set china_ip dst -j DROP
-A OUTPUT -p udp --sport 123 -j ACCEPT
-A OUTPUT -m set ! --match-set china_ip dst -j DROP
COMMIT
#启动ipset和iptables
service ipset start
service iptables start
6、ipset4.5常用命令
centos5系列最高只能安装ipset4.5版本,centos6系列可以安装更高的版本,centos5和centos6在ipset命令的使用方式上有很大区别,下面列出了centos5下常用的管理ipset的命令
ipset -N china_ip nethash #创建一个名为china_ip类型为nethash的集合
ipset -R < /etc/sysconfig/ipset #导入ipset配置文件
ipset -X china_ip #清除china_ip集合
ipset -X #清除所有集合
ipset -S > /etc/sysconfig/ipset #将集合存储到配置文件中