用 iptables 屏蔽來自某個國家的 IP
星期六我們一位客戶受到攻擊，我們的網(wǎng)絡(luò)監(jiān)測顯示有連續(xù)6小時的巨大異常流量，我們立即聯(lián)系了客戶，沒有得到回應，我們修改和限制了客戶的 VPS，使得個別 VPS 受攻擊不會對整個服務器和其他 VPS 用戶造成任何影響，我們一直保持這個 VPS 為開通狀態(tài)（盡管一直受攻擊），攻擊又持續(xù)了24小時，星期天攻擊仍在繼續(xù)，我們?nèi)虩o可忍，但是仍然無法聯(lián)系到客戶，我們向客戶網(wǎng)站的另一負責人詢問是否需要我們介入來幫助解決，這位負責人答應后我們立即投入到與 DDoS 的戰(zhàn)斗中（我們動態(tài)掃描屏蔽壞 IP，現(xiàn)在客戶網(wǎng)站已恢復。整個過程很有意思，以后有時間再寫一篇博客來描述）。登錄到客戶 VPS 第一件事情就是查當前連接和 IP，來自中國的大量 IP 不斷侵占80端口，典型的 DDos. 所以第一件事是切斷攻擊源，既然攻擊只攻80端口，那有很多辦法可以切斷，直接關(guān)閉網(wǎng)站服務器、直接用防火墻/iptables 切斷80端口或者關(guān)閉所有連接、把 VPS 網(wǎng)絡(luò)關(guān)掉、換一個 IP，?，等等。因為攻擊源在國內(nèi)，所以 VPSee 決定切斷來自國內(nèi)的所有訪問，這樣看上去網(wǎng)站好像是被墻了而不是被攻擊了，有助于維護客戶網(wǎng)站的光輝形象。那么如何屏蔽來自某個特定國家的 IP 呢？
方法很容易，先到?IPdeny 下載以國家代碼編制好的 IP 地址列表，比如下載 cn.zone：
# wget http://www.ipdeny.com/ipblocks/data/countries/cn.zone
有了國家的所有 IP 地址，要想屏蔽這些 IP 就很容易了，直接寫個腳本逐行讀取 cn.zone 文件并加入到 iptables 中：
#!/bin/bash
# Block traffic from a specific country
# written by vpsee.com
COUNTRY="cn"
IPTABLES=/sbin/iptables
EGREP=/bin/egrep
if [ "$(id -u)" != "0" ]; then
echo "you must be root" 1>&2
exit 1
fi
resetrules() {
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F
$IPTABLES -X
}
resetrules
for c in $COUNTRY
do
country_file=$c.zone
IPS=$($EGREP -v "^#|^$" $country_file)
for ip in $IPS
do
echo "blocking $ip"
$IPTABLES -A INPUT -s $ip -j DROP
done
done
exit 0
好 IP 和壞 IP 都被屏蔽掉了，這種辦法當然不高明，屏蔽 IP 也沒有解決被攻擊的問題，但是是解決問題的第一步，屏蔽了攻擊源以后我們才有帶寬、時間和心情去檢查 VPS 的安全問題。公布一份我們客戶被攻擊的網(wǎng)絡(luò)流量圖，在18點到0點所有帶寬都被攻擊流量占用，這時候客戶無法登錄 VPS，訪問者也無法訪問網(wǎng)站：
轉(zhuǎn)載自：http://www.vpsee.com/2010/08/block-traffic-from-a-specific-country-using-iptables/
>>轉(zhuǎn)載請注明出處：VPS偵探 本文鏈接地址：http://m.0794baidu.com/security/iptables-block-countries-ip.html
iptables -X 以后老是出現(xiàn)服務器斷線了，要怎么處理？現(xiàn)在搞這個命令都搞得有點怕了
你也是一樣的執(zhí)行方式？
你也是一位這樣執(zhí)行嗎？
@jesse, 我這邊試了沒問題
軍哥幫測試下
[root@S04001011702AX ~]# sh cn.sh
cn.sh: line 5: COUNTRY: command not found
cn.sh: line 6: IPTABLES: command not found
cn.sh: line 7: EGREP: command not found
cn.sh: line 15: -F: command not found
cn.sh: line 16: -t: command not found
cn.sh: line 17: -t: command not found
cn.sh: line 18: -X: command not found
@jesse, 直接vi或nano，下載后再當前你所在的目錄。
用txt保存為sh?然后 執(zhí)行？而下載的那個文件放在那個路徑？
@jesse, 下面不是有腳本，執(zhí)行以下腳本不就行了。
wget http://www.ipdeny.com/ipblocks/data/countries/cn.zone
有了國家的所有 IP 地址，要想屏蔽這些 IP 就很容易了，直接寫個腳本逐行讀取 cn.zone 文件并加入到 iptables 中：
不是好明白
怎么調(diào)用？
@jesse, 這個和你用什么系統(tǒng)沒一點關(guān)系，只是一個iptables的使用。
有沒詳細說明？有點看不懂，VZ內(nèi)核的C系統(tǒng) .
我現(xiàn)在就想封的就是美國的IP
@deardongdong, 被攻擊一直是個不好解決的問題。
這個成問題啊。