Пограничные войны

Не секрет, что настоящую сильную DDoS-атаку может отбить (отфильтровать) только серьезная железка [магистрального] провайдера. Бороться своими силами (силами серверной ОСи) можно только с небольшими атаками и с разными другими мелкими неприятностями, как то подбор паролей (брутфорс), наплыв нецелевого траффика (китайцев на русский сайт 🙂 ), взлом сайтов и т.п.

От наплыва посетителей из нежелательных стран можно бороться путем блокирования IP-адреса по коду страны, для этого понядобится установленный GeoIP и следующий  код в файле .htaccess:

просмотреть источник
распечатать?
1
SetEnvIf GEOIP_COUNTRY_CODE CN BadCountry
2
SetEnvIf GEOIP_COUNTRY_CODE TW BadCountry
3
Order Deny,Allow
4
Deny from env=BadCountry
5
 
6
Allow from 1.2.3.4 # разрешенный адрес заблокированнй страны
7
Allow from 2.3.4.5 # разрешенный адрес заблокированнй страны

Можно открыть доступ только определенным странам:

просмотреть источник
распечатать?
1
SetEnvIf GEOIP_COUNTRY_CODE UA GoodCountry
2
SetEnvIf GEOIP_COUNTRY_CODE RU GoodCountry
3
Order Allow,Deny
4
Allow from env=GoodCountry

Under Attack: рубим с плеча

Если сайт подвергается DDoS-атаке и вы определили, что все запросы идут из какой-то определенной страны, будет лучше, если заблокировать страну в фаерволе, чтобы не было большой нагрузки на Apache.

 

просмотреть источник
распечатать?
1
wget https://www.maxmind.com/download/geoip/database/GeoIPCountryCSV.zip
2
unzip GeoIPCountryCSV.zip
3
make -C /usr/ports/www/nginx fetch
4
tar tvf /usr/ports/distfiles/nginx-0.7.65.tar.gz | grep geo2
5
tar xvf /usr/ports/distfiles/nginx-0.7.65.tar.gz nginx-0.7.65/contrib/geo2nginx.pl
6
mv nginx-0.7.65/contrib/geo2nginx.pl . && chmod 700 geo2nginx.pl && rm -rf nginx-0.7.65/
7
cat GeoIPCountryWhois.csv | ./geo2nginx.pl | grep CN | awk '{print $1}' > ips.list

В файле ips.list мы получим список IP-сетей выбранной страны (в данном случае – Китая/CN).
NB
База данных GeoIP может содержать незначительные погрешности.

Добавляем правило в фаервол, например:

просмотреть источник
распечатать?
1
ipfw add deny all from table\(1\) to me

Может оказаться, что система собрана без фаервола, если есть исходники, можем быстренько собрать:

просмотреть источник
распечатать?
1
cd /usr/src/sys/modules/ipfw

Редактируем Makefile, нужно раскомментировать строку:

просмотреть источник
распечатать?
1
CFLAGS+= -DIPFIREWALL_DEFAULT_TO_ACCEPT

иначе отрубим машину от сети =)
Дальше:

просмотреть источник
распечатать?
1
make
2
cp ipfw.ko /boot/kernel/.
3
kldload ipfw
4
cd -

Проверяем:

просмотреть источник
распечатать?
1
ipfw show

Должна выводиться строчка "{цифры} allow ip from any to any".

Заливаем список айпишников скриптом:

просмотреть источник
распечатать?
1
#!/bin/sh
2
 
3
lips=`cat ips.list`
4
for f in ${lips}
5
do
6
   IP=$f
7
   /sbin/ipfw table 1 add $IP
8
done

Можем проверить, блокируются ли забаненные айпишники:

просмотреть источник
распечатать?
1
ipfw show

Количество забаненных сетей:

просмотреть источник
распечатать?
1
ipfw table 1 list | wc -l

Надеюсь это никому не пригодится. А если пригодится, то надеюсь поможет устоять перед натиском врага. 🙂