欢迎访问我的博客,你的支持,是我最大的动力!

基于ipset对大量ip进行封禁(iptables)

Linux 小马奔腾 116℃ 评论
目录:
[显示]

iptables可以有效的对特定的ip进行封禁,但若需要处理大量ip时,需要添加同等数量的规则,这会导致性能严重下降,并且管理也不够方便和优雅

ipset则很好的解决了这个问题。ipset是iptables的扩展,它允许你创建和匹配整个地址集合的规则。在iptables规则中仅一条规则,就可以匹配到整个集合中的ip,并且,可以对这个集合动态修改,而不需要再修改iptables规则,甚至,你可以为特定ip设置过期时间,这样,对该ip的封禁在指定的时间后,会自动过期,从而自动解封

安装 ipset

yum install ipset

ipset 常用命令

集合类型:分为三大类,即hash,bitmap,list
其中bitmap最大容量为65536;hash默认容量是65536,可通过maxelem指定更大的容量;而list类型的元素为hash或bitmap集合,其容量则更大
hash方式有:
hash:net,iface  hash:net,port  hash:net  hash:ip,port,net  hash:ip,port,ip  hash:ip,port  hash:ip
bitmap方式有:
bitmap:port  bitmap:ip,mac  bitmap:ip

# 创建集合
ipset create xxx hash:net
ipset create xxx hash:net maxelem 1000000   #指定最大容量
ipset create xxx hash:net hashsize 4096 maxelem 1000000  #指定hashsize和最大容量 hashsize默认为1024,必须为2的倍数
ipset create xxx hash:ip timeout 300 #创建带默认超时时间的集合,注,单个添加的条目时间可超过该值,过期后,条目会自动删除
ipset create xxx hash:ip family inet hashsize 1024 maxelem 65536 timeout 300  #完整的命令

# 查看集合
ipset list      #会输出详细信息,包括条目及每个条目的剩余时间
ipset list xxx
ipset list -n  #仅输出集合名称
ipset list -t   #不输出元素

# 添加条目
ipset add xxx 192.168.1.1
ipset add xxx 192.168.1.1 timeout 60
ipset -exist add xxx 192.168.1.1 timeout 60 #添加条目,若存在,则更新timeout时间  说明,不使用 -exist 则条目已存在时会报错

# 针对不同集合类型的示例
ipset add foo 192.168.1/24
ipset add foo 192.168.1.1,12:34:56:78:9A:BC
ipset add foo 80
ipset add foo 192.168.1.0/24,80-82
ipset add foo 192.168.1.1,udp:53
ipset add foo 10.1.0.0/16,80
ipset add foo 192.168.1.1,80,10.0.0.1
ipset add foo 192.168.2,25,10.1.0.0/16
ipset add foo 192.168.0/24,eth0

# 删除条目
ipset del xxx 192.168.1.1  #注,删除一个不存在的条目会报错
ipset -exist del xxx 192.168.1.1

# 查询条目
ipset test xxx 192.168.1.1

# 清空集合
ipset flush   #清空所有集合
ipset flush xxx   #清空指定的集合

# 将规则保存到文件
ipset save xxx -f xxx.txt  #导出文件甚至包含集合创建命令
ipset save xxx  #输出到屏幕# 从文件还原
ipset restore -f xxx.txt    #注意,集合名称在文件中已存在,若存在该集合,则导入失败

# 删除集合
ipset destroy       #删除所有集合
ipset destroy xxx #删除指定的集合

# 集合重命名
ipset rename xxx yyy  #改名为yyy

在iptables中使用集合
# 添加
iptables -I INPUT -m set –match-set xxx src -p tcp -j DROP
iptables -I INPUT -m set –match-set xxx src -p udp -j DROP
# 删除
iptables -D INPUT -m set –match-set xxx src -p tcp -j DROP
iptables -D INPUT -m set –match-set xxx src -p udp -j DROP
# 查看
iptables -L | grep match-set
# 保存
service iptables save
扩展

屏蔽指定国家地区的IP访问
wget https://raw.githubusercontent.com/iiiiiii1/Block-IPs-from-countries/master/block-ips.sh
sh block-ips.sh
# 不同国家对应的网段数据 http://www.ipdeny.com/ipblocks/data/countries/

使用IPIP数据库进行流量屏蔽
https://github.com/17mon/china_ip_list/blob/master/china_ip_list.txt

 

转载请注明:轻风博客 » 基于ipset对大量ip进行封禁(iptables)

喜欢 (1)or分享 (0)