Кто как блокирует целые страны (Китай, например)?

У сервисов защиты от атак обычно имеется возможность блокировать доступ странами, выбирая их списком.

Если осуществляете самостоятельную блокировку через iptables, то не лишним будет следить за актуальностью geoip базы, иначе могут быть ложные блокировки.

ipset обязателен, при блокировки большого списка IP, иначе сервер будет просто умирать, проверенно на своём сервере. 🚬

А можно верить этим спискам под сетей стран?

---------- Добавлено 18.11.2019 в 19:01 ----------

А это как прописать к примеру в iptables/ipfw?

baas, Для этого нужен модуль geoip для iptbles

Я там ссылку давал, как всё это настраивается. И да модуль Geoip нужен.

Да вроде это давний ресурс, трастовый.

С geoip ещё mod_security работает. Причем он ещё и сам по себе полезен будет всяко.

Берёте отсюда конкретную AS, например вот эту. Находите таблицу с подсетями и копируете её всю в файлик. Прямо всю, вместе с description и Num IPs. Например в /tmp/china. Далее делаете так:

Получаете файлик, где будут только одни подсети в столбик. Делаем следующее:

В результате у вас созданный блок в ipset заполнится китайскими подсетями. Далее так:

Очищаем файл, куда копировали столбцы со страницы:

Потом переходим на страницу и повторяем все описанные действия со следующей AS. Только с небольшим условием:

• ipset create china_ips nethash
  - этого уже не делаем.
• вместо

cat /tmp/china | awk ' {print $1} ' > /tmp/china_ips


cat /tmp/china | awk ' {print $1} ' >> /tmp/china_ips

• вот этого

iptables -A INPUT -m set --match-set china_ips src -j DROP

И не забыть поставить iptables-persistent.

И настроить в ifdown/ifup, или что там у вас стоит, сохранение и восстановление правил ipset/iptables при перезагрузке.

Иначе после ребута все эти правила слетят.

iptables_save.sh

#!/bin/sh

ipset_rules="/etc/iptables/ipset.rules"

[ -f ${ipset_rules} ] && mv ${ipset_rules} ${ipset_rules}.old && /sbin/ipset -S > ${ipset_rules}

/sbin/iptables-save -c > /etc/iptables/rules.v4

/sbin/ip6tables-save -c > /etc/iptables/rules.v6

iptables_load.sh

#!/bin/sh

/sbin/ipset flush

/sbin/ipset -R -! < /etc/iptables/ipset.rules

/sbin/iptables-restore -c < /etc/iptables/rules.v4

/sbin/ip6tables-restore -c < /etc/iptables/rules.v6

exit 0

Если ipv6 не используется, то соответствующие строчки можно убрать.

После Великого Китайского запрета, кто-то продолжает ддосить меня (правда, гораздо менее активно) с других пространств. Пакистан, Индия, США тож попадается. Причём, атаки будто по расписанию - примерно в одно и то же время, минут на 10-20. И по логам видно, что схожий принцип - то запросы к главной с кучей меняющихся GET-параметров, то POST на главную же. Кто-нибудь сталкивался с этой фигнёй? Непонятно, чокаво, никто никаких требований не выдвигает, да и сайт для узкой группы людей.