iptables按照指定国家屏蔽（GEOIP模块的安装与使用）

已于 2022-02-11 16:02:48 修改
阅读量4.7k 收藏 2
点赞数 1
文章标签： 服务器 centos linux iptables 网络安全
于 2022-02-09 16:23:55 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/iceveil/article/details/122844314
版权

iptables按照指定国家屏蔽（GEOIP模块的安装与使用）

该流程适合Centos7.*系统

一、安装iptables-addons（geoip模块）

1、下载lux源
wget http://repo.iotti.biz/CentOS/7/noarch/lux-release-7-1.noarch.rpm

2、安装lux源
rpm -ivh lux-release-7-1.noarch.rpm --force --nodeps

3、安装xtables-addons
yum -y install kmod-xtables-addons
yum -y install xtables-addons

一定要先安装kmod-xtables-addons后安装xtables-addons，后者依赖于前者

4、动态加载xt_geoip内核模块（每次重启需要重新执行）
insmod /lib/modules/3.10.0-327.36.2.el7.centos.plus.x86_64/extra/xtables-addons/xt_geoip.ko

利用insmod的优点是，整个部署流程不需要重启服务器。还有一种一劳永逸的方法是，在第一步先通过 yum -y install kernel kernel-devel 更新到最新内核，然后执行第1、2、3步，执行完成后重启服务器。这样操作完之后，就不需要运行第4步，每次重新重新加载xt_geoip内核模块了。

二、获得CSV格式的全球IP库

1、访问MAXMIND官网
https://www.maxmind.com/en/home
在这里插入图片描述

2、创建账户

注册地址：https://www.maxmind.com/en/geolite2/signup?lang=en 这个注册地址不是很好找。
在这里插入图片描述

按照引导流程创建账户，期间需要邮箱验证。

3、登陆账户并进入用户中心
在这里插入图片描述

在用户中心最左侧的导航栏，可以看到Download Files选项，进入该页面
在这里插入图片描述

4、下载CSV格式的IP库
在这里插入图片描述

在Download Files页面，选择最下方的 GeoLite2 Country: CSV Formate，点击右侧的Download ZIP下载。

5、解压下载到的压缩包，即可得到CSV格式的IP库
在这里插入图片描述

三、将官网下载的CSV格式IP库转换为iptables可识别的格式

1、创建格式转换脚本

#!/usr/bin/perl
#
#       Converter for MaxMind (GeoLite2) CSV database to binary, for xt_geoip
#       Copyright Jan Engelhardt, 2008-2011
#       Copyright Philip Prindeville, 2018
#
use Getopt::Long;
use Net::CIDR::Lite;
use Socket qw(AF_INET AF_INET6 inet_pton);
use warnings;
use Text::CSV_XS; # or trade for Text::CSV
use strict;

my $csv = Text::CSV_XS->new({
        allow_whitespace => 1,
        binary => 1,
        eol => $/,
}); # or Text::CSV
my $source_dir = ".";
my $quiet = 0;
my $target_dir = ".";

&Getopt::Long::Configure(qw(bundling));
&GetOptions(
        "D=s" => \$target_dir,
        "S=s" => \$source_dir,
        "q" => \$quiet,
        "s" => sub { $target_dir = "/usr/share/xt_geoip"; },
);

if (!-d $source_dir) {
        print STDERR "Source directory \"$source_dir\" does not exist.\n";
        exit 1;
}
if (!-d $target_dir) {
        print STDERR "Target directory \"$target_dir\" does not exist.\n";
        exit 1;
}

foreach (qw(LE BE)) {
        my $dir = "$target_dir/$_";
        if (!-e $dir && !mkdir($dir)) {
                print STDERR "Could not mkdir $dir: $!\n";
                exit 1;
        }
}

my %countryId;
my %countryName;
&loadCountries();
&dump(&collect());

sub loadCountries
{
        sub id; sub cc; sub long; sub ct; sub cn;

        %countryId = ();
        %countryName = ();

        my $file = "$source_dir/GeoLite2-Country-Locations-en.csv";
        print $file;
        open(my $fh, '<', $file) || die "Couldn't open list country names\n";

        # first line is headers
        my $row = $csv->getline($fh);

        my %header = map { ($row->[$_], $_); } (0..$#{$row});

        my %pairs = (
                country_iso_code => 'ISO Country Code',
                geoname_id => 'ID',
                country_name => 'Country Name',
                continent_code => 'Continent Code',
                continent_name => 'Continent Name',
        );

        # verify that the columns we need are present
        map { die "Table has no $pairs{$_} column\n" unless (exists $header{$_}); } keys %pairs;

        my %remapping = (
                id => 'geoname_id',
                cc => 'country_iso_code',
                long => 'country_name',
                ct => 'continent_code',
                cn => 'continent_name',
        );

        # now create a function which returns the value of that column #
        map { eval "sub $_ () { \$header{\$remapping{$_}}; }" ; } keys %remapping;

        while (my $row = $csv->getline($fh)) {
                if ($row->[cc] eq '' && $row->[long] eq '') {
                        $countryId{$row->[id]} = $row->[ct];
                        $countryName{$row->[ct]} = $row->[cn];
                } else {
                        $countryId{$row->[id]} = $row->[cc];
                        $countryName{$row->[cc]} = $row->[long];
                }
        }

        $countryName{A1} = 'Anonymous Proxy';
        $countryName{A2} = 'Satellite Provider';
        $countryName{O1} = 'Other Country';

        close($fh);

        # clean up the namespace
        undef &id; undef &cc; undef &long; undef &ct; undef &cn;
}

sub lookupCountry
{
        my ($id, $rid, $proxy, $sat) = @_;

        if ($proxy) {
                return 'A1';
        } elsif ($sat) {
                return 'A2';
        }
        $id ||= $rid;
        if ($id eq '') {
                return 'O1';
        }
        die "Unknown id: $id line $.\n" unless (exists $countryId{$id});
        return $countryId{$id};
}

sub collect
{
        my ($file, $fh, $row);
        my (%country, %header);

        sub net; sub id; sub rid; sub proxy; sub sat;

        my %pairs = (
                network => 'Network',
                registered_country_geoname_id => 'Registered Country ID',
                geoname_id => 'Country ID',
                is_anonymous_proxy => 'Anonymous Proxy',
                is_satellite_provider => 'Satellite',
        );

        foreach (sort keys %countryName) {
                $country{$_} = {
                        name => $countryName{$_},
                        pool_v4 => Net::CIDR::Lite->new(),
                        pool_v6 => Net::CIDR::Lite->new(),
                };
        }

        $file = "$source_dir/GeoLite2-Country-Blocks-IPv4.csv";
        open($fh, '<', $file) || die "Can't open IPv4 database\n";

        # first line is headers
        $row = $csv->getline($fh);

        %header = map { ($row->[$_], $_); } (0..$#{$row});

        # verify that the columns we need are present
        map { die "Table has no %pairs{$_} column\n" unless (exists $header{$_}); } keys %pairs;

        my %remapping = (
                net => 'network',
                id => 'geoname_id',
                rid => 'registered_country_geoname_id',
                proxy => 'is_anonymous_proxy',
                sat => 'is_satellite_provider',
        );

        # now create a function which returns the value of that column #
        map { eval "sub $_ () { \$header{\$remapping{$_}}; }" ; } keys %remapping;

        while ($row = $csv->getline($fh)) {
                my ($cc, $cidr);

                $cc = lookupCountry($row->[id], $row->[rid], $row->[proxy], $row->[sat]);
                $cidr = $row->[net];
                $country{$cc}->{pool_v4}->add($cidr);

                if ($. % 4096 == 0) {
                        print STDERR "\r\e[2K$. entries";
                }
        }

        print STDERR "\r\e[2K$. entries total\n";

        close($fh);

        # clean up the namespace
        undef &net; undef &id; undef &rid; undef &proxy; undef &sat;

        $file = "$source_dir/GeoLite2-Country-Blocks-IPv6.csv";
        open($fh, '<', $file) || die "Can't open IPv6 database\n";

        # first line is headers
        $row = $csv->getline($fh);

        %header = map { ($row->[$_], $_); } (0..$#{$row});

        # verify that the columns we need are present
        map { die "Table has no %pairs{$_} column\n" unless (exists $header{$_}); } keys %pairs;

        # unlikely the IPv6 table has different columns, but just to be sure
        # create a function which returns the value of that column #
        map { eval "sub $_ () { \$header{\$remapping{$_}}; }" ; } keys %remapping;

        while ($row = $csv->getline($fh)) {
                my ($cc, $cidr);

                $cc = lookupCountry($row->[id], $row->[rid], $row->[proxy], $row->[sat]);
                $cidr = $row->[net];
                $country{$cc}->{pool_v6}->add($cidr);

                if (!$quiet && $. % 4096 == 0) {
                        print STDERR "\r\e[2K$. entries";
                }
        }

        print STDERR "\r\e[2K$. entries total\n" unless ($quiet);

        close($fh);

        # clean up the namespace
        undef &net; undef &id; undef &rid; undef &proxy; undef &sat;

        return \%country;
}

sub dump
{
        my $country = shift @_;

        foreach my $iso_code (sort keys %{$country}) {
                &dump_one($iso_code, $country->{$iso_code});
        }
}

sub dump_one
{
        my($iso_code, $country) = @_;
        my($file, $fh_le, $fh_be);

        printf "%5u IPv6 ranges for %s %s\n",
                scalar(@{$country->{pool_v6}->list_range()}),
                $iso_code, $country->{name};

        $file = "$target_dir/LE/".uc($iso_code).".iv6";
        if (!open($fh_le, "> $file")) {
                print STDERR "Error opening $file: $!\n";
                exit 1;
        }
        $file = "$target_dir/BE/".uc($iso_code).".iv6";
        if (!open($fh_be, "> $file")) {
                print STDERR "Error opening $file: $!\n";
                exit 1;
        }
        foreach my $range (@{$country->{pool_v6}->list_range()}) {
                my ($start, $end) = split('-', $range);
                print $fh_be &ip6_pack($start), &ip6_pack($end);
                print $fh_le &ip6_swap($start), &ip6_swap($end);
        }
        close $fh_le;
        close $fh_be;

        printf "%5u IPv4 ranges for %s %s\n",
                scalar(@{$country->{pool_v4}->list_range()}),
                $iso_code, $country->{name};

        $file = "$target_dir/LE/".uc($iso_code).".iv4";
        if (!open($fh_le, "> $file")) {
                print STDERR "Error opening $file: $!\n";
                exit 1;
        }
        $file = "$target_dir/BE/".uc($iso_code).".iv4";
        if (!open($fh_be, "> $file")) {
                print STDERR "Error opening $file: $!\n";
                exit 1;
        }
        my($sc1, $sc2, $sc3, $sc4);
        my($start, $end);
        foreach my $range (@{$country->{pool_v4}->list_range()}) {
                ($start, $end) = split('-', $range);
                ($sc1, $sc2, $sc3, $sc4) = split('\.', $start);
                $start = $sc1 * 256**3 + $sc2 * 256**2 + $sc3 * 256 + $sc4;
                ($sc1, $sc2, $sc3, $sc4) = split('\.', $end);
                $end = $sc1 * 256**3 + $sc2 * 256**2 + $sc3 * 256 + $sc4;
                print $fh_le pack("VV", $start, $end);
                print $fh_be pack("NN", $start, $end);
        }
        close $fh_le;
        close $fh_be;
}

sub ip6_pack
{
        my $addr = shift @_;
        $addr =~ s{::}{:!:};
        my @addr = split(/:/, $addr);
        my @e = (0) x 8;
        foreach (@addr) {
                if ($_ eq "!") {
                        $_ = join(':', @e[0..(8-scalar(@addr))]);
                }
        }
        @addr = split(/:/, join(':', @addr));
        $_ = hex($_) foreach @addr;
        return pack("n*", @addr);
}

sub ip6_swap
{
        return pack("V*", unpack("N*", shift @_));
}

创建文件 xt_geoip_build 并讲该脚本内容写入文件。运行 chmod -x xt_geoip_build 给予文件可执行权限

2、安装xt_geoip_build脚本所需要的依赖
yum -y install perl-Text-CSV_XS
wget https://download-ib01.fedoraproject.org/pub/epel/7/aarch64/Packages/p/perl-Net-CIDR-Lite-0.21-11.el7.noarch.rpm
rpm -ivh perl-Net-CIDR-Lite-0.21-11.el7.noarch.rpm --force --nodeps

3、将csv格式ip库转换为geoip模块格式
mkdir /usr/share/xt_geoip
./xt_geoip_build -D /usr/share/xt_geoip -S csv文件路径

至此 GEOIP 模块就安装配置完成了

四、使用iptables命令屏蔽国家

1、屏蔽中国、美国和中国香港来访用户
iptables -I INPUT -m geoip --src-cc CN,US,HK -j DROP

2、屏蔽除中国大陆外的所有来访用户
iptables -I INPUT -m geoip ! --src-cc CN -j DROP

3、查看geoip模块使用说明
iptables -m geoip -h

iceveil
关注
Debian/Ubuntu下安装GeoIP
pyphrb的博客
09-22 3928
Ubuntu下安装GeoIP　　什么是GeoIP ? 　　所谓GeoIP，就是通过来访者的IP， 定位他的经纬度，国家/地区，省市，甚至街道等位置信息的一个数据库。GeoIP有两个版本，一个免费版，一个收费版本。收费版本的准确率和数据更好一些。 　　GeoIP如何使用？ 　　GeoIP支持多种语言调用，这里我们以PHP为例。 方法一通过APT安装PHP对GeoIP的支持模块apt-get i
iptables精确屏蔽某个国家的ip文档
01-19
iptables+xtables-addons+GeoIP库精确屏蔽某个国家的ip，实测案例（难点在xtables-addons编译上，文档有详细步骤以及解决方案），花200块买的，特此分享。
linux中利用iptables+geoip过滤指定IP
weixin_33910460的博客
02-15 316
1. 前提条件 iptables &gt;= 1.4.5 kernel-devel &gt;= 3.7 2.  安装依赖包    代码如下 复制代码 # yum install gcc gcc-c++ make automake unzip zip xz kernel-devel-`uname -r` iptables-devel perl-Text-CSV_...
云服务器禁止国外ip
最新发布
weixin_41991884的博客
08-13 107
云服务器禁止国外IP的设置与示例 在当今互联网时代，云服务器已成为许多企业和个人的首选。然而，随着网络攻击的日益增加，如何保护云服务器的安全性已成为一个重要课题。一个有效的手段就是禁止来自国外的IP访问。本文将介绍如何在云服务器上禁止国外IP，并提供相关代码示例。 什么是云服务器？ 云服务器是通过虚拟化技术，将物理服务器的...
iptables+geoip来过滤阻挡来源IP
weixin_33859665的博客
01-13 184
有些时候，某些国家的IP一直在对服务器进行登录尝试或***等等，需要先将可疑IP分析出来，再用iptables来封掉它。延后又耗时费力。现在可以用xtables-addons，对来源IP进行阻挡。1. 前提条件iptables >= 1.4.5kernel-devel >= 3.72. 安装依赖包# yum install gcc gcc-c++ make au...
Centos6下iptables配置Xtables-Addons和GeoIP屏蔽某个国家ip
qingzhong_he2010
03-31 2403
今天服务器上流量猛增，ip都来自于中国，而且是非正常访问的ip，导致php-fpm耗CPU 100%，网站打开非常慢，本来已经使用iptables限制连接数，但由于同一ip的连接数达不到，所以没办法进行限制，只能采用屏蔽某个地区ip的方法了，Xtables-Addons就是这样的模块，只需要编译此模块，而不必编译系统内核，就可以和iptables一起工作，达到过滤某个地区的ip。 第一步，检
用 iptables 屏蔽来自某个国家的 IP
weixin_34087503的博客
07-24 147
方法很容易，先到 IPdeny 下载以国家代码编制好的 IP 地址列表，比如下载 cn.zone：# wget http://www.ipdeny.com/ipblocks/data/countries/cn.zone 有了国家的所有 IP 地址，要想屏蔽这些 IP 就很容易了，直接写个脚本逐行读取 cn.zone 文件并加入到 iptables 中：#!/bin/bash...
在Centos 上Xtables-Addons 和Iptables GeoIP 6和过滤
weixin_33980459的博客
08-22 198
在Centos 上Xtables-Addons 和Iptables GeoIP 6及过滤实现和安装 这篇文章将讲述怎样安装iptable 在内核的的使用，Xtables-addons是 patch-o-matic(-ng).的继承， 同样他也延续了接受了iptable的安装包。Xtables-addons不同于patch-o-matic，但不需要补丁和编译安装。 一个列...
Shell脚本配合iptables屏蔽来自某个国家的IP访问
09-15
主要介绍了Shell脚本配合iptables屏蔽来自某个国家的IP访问,本文利用IPdeny的IP数据,然后用Shell脚本导入iptables实现屏蔽IP访问,需要的朋友可以参考下
iptables的用法，用iptables封IP的方法
04-03
iptables的用法，用iptables封IP的方法,安装，启动，关闭
Xtables-addons-开源
05-03
Xtables-addons是一个软件包，该软件包淘汰了Linux内核和iptables的旧patch-o-matic存储库。 扩展不是修补内核源代码，而是将扩展模块构建为模块，因此允许扩展内核而无需重新编译。
iptables做策略屏蔽QQ与MSN
09-15
QQ服务器端口为:8000;客户端端口为:4000(开启第二个QQ时为4001,依次类推);均为UDP.MSN端口数较多:1863为登陆所需要的端口以及3000-4000等等
CentOS 安装使用Iptables
01-03
CentOS 安装使用Iptables,1.安装iptables-services2.设置开机启动3.配置说明
使用iptables实现只允许中国IP访问服务器
longsky1985的博客
05-07 384
虽然，互联网是无国界的，但有时候还是需要限制某些地区访问我的服务器。大部分攻击都来自国外，虽然Rat's分享过一键脚本，但一键脚本并不适合使用了面板的服务器，例如宝塔/appnode，实际上手动设置也很简单。原本我是计划用安全组解决的，但是阿里云安全组能设置的IP段太少了，强行导入直接失败。只好用iptables。。下面我根据无面板/appnode/宝塔三种情况来写教程。
centos使用GeoIP设置某个国家之外的IP访问
码奴一只猿
04-13 783
CentOS是一种流行的Linux操作系统，它可以用于各种用途，包括Web服务器、数据库服务器、邮件服务器等。在某些情况下，您可能需要禁止某个国家之外的IP地址访问您的服务器。这可以通过使用防火墙规则来实现。在本教程中，我们将介绍如何使用CentOS的防火墙来禁止某个国家之外的IP地址访问您的服务器。
centos下nginx实现按国家/地域封禁、按ip频率限流能力、ngx_http_geoip2_module、ngx_http_geoip_module的区分
zhangpinghao的专栏
09-25 403
ngx_http_geoip2_module 支持指定字段来进行ip解析，而ngx_http_geoip_module只能用remote_addr解析，这对上层还有网关或者防火墙的无法实现。但从实际使用来看，同一个ip ngx_http_geoip_module 能查出来城市，但是 ngx_http_geoip2_module 查不出来的情况很多。ngx_http_geoip_module 使用 .dat数据库，更老，数据已经不再维护。模块的nginx参数如下。openresty版。
xtables-addons中的一个让我吃了一惊的模块DNETMAP
weixin_34162401的博客
11-12 186
这篇文章，我不想展开，本来我并不想写这么一篇文章，由于前段时间，我写了一个static-stateless-2-way-NAT-on-Linux-with-iptables发现自己重新造了轮子之后，我不得不讴歌一下自己。下载xtables-addons，编译，安装，然后man xtables-addons，你会发现： DNETMAP T...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

iceveil

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值