Andrey_Rogovsky Oct 22 2009 at 20:49

Как защитить сервер от посетителей из нежелаемых стран

3 min

9.8K

Configuring Linux*

+36

Comments 30

pROCKrammer Oct 22 2009 at 21:04

зачем дискриминация? пусть заходят откуда хотят…

DYm00n Oct 22 2009 at 21:17

Часто дос атака начинается из определенного региона (часто из китая) и таким методом легко прикрыть лазейку

BaBL Oct 22 2009 at 21:23

При SYN Spoof DDOS'е пакеты могут приходить из Китая, хотя реально шлются из соседнего подъезда и в Китае ни разу не были, так что регионы уже не котируются =/

Andrey_Rogovsky Oct 22 2009 at 21:43

Таки да, но просто китайский трафик не представляет в данном случае интереса — просто заходят, грабят картинки, ничего не покупают.

alrond Oct 23 2009 at 14:07

В этом случае и ногда помогают SYN-куки

echo "1" > /proc/sys/net/ipv4/tcp_syncookies

Andrey_Rogovsky Oct 23 2009 at 19:06

А это спуфленным пакетам никчему, они ACK не шлют, их цель — забить сокеты и загрузить серер генерацией кукисов

nshopik Oct 22 2009 at 21:16

из ненужных стран

Ну это вы сильно сказали

Andrey_Rogovsky Oct 22 2009 at 21:44

Исправился

securer Oct 22 2009 at 21:50

Из каких это таких ненужных стран а? выкладывайте, напрямую

rolinskyigor Oct 23 2009 at 11:19

Страны, в которых социум не склонен к покупкам через сайты в силу ряда причин

shalb Oct 22 2009 at 22:10

Ну в Украине можна попросить датацентр отключить Вам «мир». Правда UTC-X отвалится.

mandrivko Oct 23 2009 at 00:48

Да, в Украине очень много проблем можно избежать настроив все подобным образом!

PhAbyss Oct 23 2009 at 05:16

А как к FreeBSD прикрутить?

Andrey_Rogovsky Oct 23 2009 at 09:58

Поставить nginx из портов и далее по инструкции

PhAbyss Oct 23 2009 at 14:26

Под nginx понятно, но меня интересует именно поддержка в ядре и запрет через pf, тогда можно закрыть vpn, ftp корпоративные, которые нужны только из России (или разрешить только российские ip).

d_a Oct 23 2009 at 10:05

Сдается мне что то же самое делали на одном из популярных западных ресурсов. Что с ними стало теперь — известно )

Andrey_Rogovsky Oct 23 2009 at 10:40

Мы оба продумали про Демоноид? :)

d_a Oct 23 2009 at 11:19

Ох, не только мы )

differentlocal Oct 23 2009 at 12:31

Одно дело — сайты и трекеры, другое — гео-ориентированные проекты (соц. сети, магазины, сервисы и т.д.).

Согласитесь, шанс, что кто-то из Китая или Малайзии купит товар в интернет-магазин с доставкой по г. Пермь довольно мал. А вот негативная активность (сканы портов, брутфорс ssh, ddos, сграбливание контента) идет в основном оттуда.

d_a Oct 23 2009 at 13:14

Конечно я согласен. Дела у магазинов и теркеров разные, но технология отлупа (сабж!) — общая.

Еще могу заметить, что не очень понимаю, зачем в китае контент магазина с доставкой по Перми, но в остальном — уверенное да.

ins7 Oct 23 2009 at 13:25

>KERNEL_DIR=/usr/src/linux-source-2.6.18/ ./runme geoip
а вы не пропустили IPTABLES_DIR?

alrond Oct 23 2009 at 14:04

Для варианта с nginx более точная база (Nginx-CIDR вариант), чем даже платный максминд

svin0 Oct 23 2009 at 14:37

У меня немного другой скрипт. Разрешить доступ с определенных ip-адресов:

/sbin/iptables -P INPUT REJECT



/sbin/iptables -N allow_web_ip

/sbin/iptables -F allow_web_ip

/sbin/iptables -A INPUT -i eth0 -p tcp -m multiport --dports 80,443 -j allow_web_ip



for IP1 in `/bin/cat /etc/iptables/clients.txt`

do

/sbin/iptables -A allow_web_ip -s $IP1 -j ACCEPT

done

for IP2 in `/bin/cat /etc/iptables/local.txt`

do

/sbin/iptables -A allow_web_ip -s $IP2 -j ACCEPT

done

for IP3 in `/bin/cat /etc/iptables/peering.txt`

do

/sbin/iptables -A allow_web_ip -s $IP3 -j ACCEPT

done

for IP4 in `/bin/cat /etc/iptables/rbnotinpeering.txt`

do

/sbin/iptables -A allow_web_ip -s $IP4 -j ACCEPT

done

...

AstonMartin Oct 24 2009 at 00:18

Нормальные люди всякий левый траф не рубят, а редиректят на софт =)

borisko Oct 24 2009 at 17:39

для варианта с nginx можно воспользоваться и бинарной базой (0.8.6+) — sysoev.ru/nginx/docs/http/ngx_http_geoip_module.html.

Screen Oct 25 2009 at 07:34

Никто не сталкивался?

zrouter:~/patch-o-matic-ng-20091024# KERNEL_DIR=/usr/src/linux-source-2.6.26 IPTABLES_DIR=/usr/src/iptables-1.4.2/ ./runme geoip
/usr/src/iptables-1.4.2/ doesn't look like a iptables source code directory to me.