如果服务器面向的用户主要是国内用户,如何拒绝国外 IP / 屏蔽国外 IP 访问服务器?
保存下面的脚本为 allcn.sh
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60
| #!/bin/bash
mmode=$1
CNIP="/home/username/china_ip_list.txt"
gen_iplist() { cat <<-EOF $(cat ${CNIP:=/dev/null} 2>/dev/null) EOF }
flush_r() { iptables -F ALLCNRULE 2>/dev/null iptables -D INPUT -p tcp -j ALLCNRULE 2>/dev/null iptables -X ALLCNRULE 2>/dev/null ipset -X allcn 2>/dev/null }
mstart() { ipset create allcn hash:net 2>/dev/null ipset -! -R <<-EOF $(gen_iplist | sed -e "s/^/add allcn /") EOF
iptables -N ALLCNRULE iptables -I INPUT -p tcp -j ALLCNRULE
iptables -A ALLCNRULE -m conntrack --ctstate ESTABLISHED,RELATED -j RETURN
iptables -A ALLCNRULE -s 127.0.0.0/8 -j RETURN iptables -A ALLCNRULE -s 169.254.0.0/16 -j RETURN iptables -A ALLCNRULE -s 224.0.0.0/4 -j RETURN iptables -A ALLCNRULE -s 255.255.255.255 -j RETURN
iptables -A ALLCNRULE -s 10.0.0.0/8 -j RETURN iptables -A ALLCNRULE -s 172.16.0.0/12 -j RETURN iptables -A ALLCNRULE -s 192.168.0.0/16 -j RETURN
iptables -A ALLCNRULE -m set --match-set allcn src -j RETURN
iptables -A ALLCNRULE -p tcp -j DROP }
if [ "$mmode" == "stop" ]; then flush_r exit 0 fi
flush_r sleep 1 mstart
|
屏蔽国外IP。
解除屏蔽国外IP。
查看iptables,检查屏蔽或解除屏蔽的结果。