请选择 进入手机版 | 继续访问电脑版
查看: 22|回复: 0

转载:Centos6禁止国外ip访问

[复制链接]

2

主题

2

帖子

8

积分

新手上路

Rank: 1

积分
8
发表于 2019-7-5 20:40:14 | 显示全部楼层 |阅读模式
最近一直在捣鼓linux,看到一篇很实用的文章分享给大家。
某业务需求,禁止国外IP访问,也能在发生攻击时阻挡部分流量
由于IP地址太多, 直接用iptables 一条一条的去匹配会影响性能,故使用ipset 结合 iptables使用
yum install ipset
ipset create china hash:net hashsize 10000 maxelem 1000000
#ipset add china 1.2.3.0/24
#ipset list china
把国内的IP段添加进去
wget http://www.ipdeny.com/ipblocks/data/countries/cn.zone
for i in `cat cn.zone`
do
echo "ipset add china $i" >>ipset_result.sh
done
执行
chmod +x ipset_result.sh
./ipset_result.sh
# ipset list china  #检验
最后的iptables规则:(封禁了UDP和TCP)
-A INPUT -s 10.202.72.116/32 -p udp -m udp --sport 53 -j ACCEPT
-A INPUT -s 10.202.72.118/32 -p udp -m udp --sport 53 -j ACCEPT
-A INPUT -s 114.114.114.114/32 -p udp -m udp --sport 53 -j ACCEPT
-A INPUT -p udp -j DROP
-A INPUT -s 127.0.0.1/32 -p tcp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 3306 -j DROP
-A INPUT -m set --match-set china src -j ACCEPT
-A INPUT -j DROP
转载自:http://www.so-cools.com/?p=1023
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|手机版|小黑屋| 主机之家 |网站地图

返回顶部