xtables-addons: филтриране на пакети по държави

Задачата за блокиране на трафика от определени държави изглежда проста, но първоначалното впечатление е измамно. Днес ще разгледаме как може да бъде реализирана.

Предистория

Резултатите от търсенето в Google по тази тема разочароват: повечето решения отдавна са „изчезнали“ и понякога изглежда, че темата е отложена за дълго и завинаги забравена. Ние обаче „преминахме“ през много стари записи и сме готови да споделим съвременната версия на инструкциите.

Препоръчваме да прочетете статията изцяло, преди да изпълнявате посочените команди.

Подготовка на операционната система

Филтрацията ще се настройва с помощта на утилита iptables, за която е необходимо разширение за работа с GeoIP данни. Такова разширение може да бъде намерено в xtables-addons. xtables-addons инсталира разширения за iptables под формата на самостоятелни модули на ядрото, благодарение на което не е нужно да се прекомпилира ядрото на ОС.

Към момента на писане на статията, актуалната версия на xtables-addons е 3.9. Все пак, в стандартните хранилища на Ubuntu 20.04 LTS може да се намери само 3.8, а в хранилищата на Ubuntu 18.04 — 3.0. Да инсталирате разширението от пакетния мениджър може със следната команда:

apt install xtables-addons-common libtext-csv-xs-perl

Отбелязваме, че между версия 3.9 и текущото състояние на проекта има малки, но важни разлики, за които ще говорим по-късно. За компилиране от изходния код, инсталирайте всички необходими пакети:

apt install git build-essential autoconf make libtool iptables-dev libxtables-dev pkg-config libnet-cidr-lite-perl libtext-csv-xs-perl

Клонираме хранилището:

git clone https://git.code.sf.net/p/xtables-addons/xtables-addons xtables-addons-xtables-addons

cd xtables-addons-xtables-addons

xtables-addons съдържа множество разширения, но нас ни интересува само xt_geoip. Ако не искате да добавяте ненужни разширения в системата, можете да ги изключите от компилацията. За целта трябва да редактирате файла mconfig. За всички желани модули поставете y, а всички ненужни отбележете n. Компилираме:

./autogen.sh

./configure

, затова потребителите на Windows трябва да инсталират Cygwin или да се справят сами с Visual Studio и библиотеките.

И инсталираме с правата на суперпотребител:

make install

По време на инсталирането на модулите на ядрото може да възникне грешка с приблизително такова съдържание:

INSTALL /root/xtables-addons-xtables-addons/extensions/xt_geoip.ko
At main.c:160:
- SSL error:02001002:system library:fopen:No such file or directory: ../crypto/bio/bss_file.c:72
- SSL error:2006D080:BIO routines:BIO_new_file:no such file: ../crypto/bio/bss_file.c:79
sign-file: certs/signing_key.pem: No such file or directory

Такава ситуация възниква поради невъзможността за подписване на модулите на ядрото, тъй като няма с какво да се подпишат. Може да разрешите този проблем с два команди:

cd /lib/modules/(uname -r)/build/certs

cat < x509.genkey

[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
prompt = no
string_mask = utf8only
x509_extensions = myexts

[ req_distinguished_name ]
CN = Modules

[ myexts ]
basicConstraints=critical,CA:FALSE
keyUsage=digitalSignature
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid
EOF

openssl req -new -nodes -utf8 -sha512 -days 36500 -batch -x509 -config x509.genkey -outform DER -out signing_key.x509 -keyout signing_key.pem

Скомпилираният модул на ядрото е инсталиран, но системата не го разпознава. Ще помолим системата да създаде карта на зависимостите с оглед на новия модул и след това ще го заредим:

depmod -a

modprobe xt_geoip

Уверете се, че xt_geoip е зареден в системата:

# lsmod | grep xt_geoip
xt_geoip               16384  0
x_tables               40960  2 xt_geoip,ip_tables

Освен това ще проверим, че разширението е заредено в iptables:

# cat /proc/net/ip_tables_matches 
geoip
icmp

Всичко ни устройва и остава само да добавим името на модула в /etc/modules, за да работи модулът след презареждане на ОС. От този момент iptables разбира командите geoip, но му липсват данни за работа. Започваме зареждането на базата данни geoip.

Получаване на базата данни GeoIP

Създаваме директория, в която ще се съхранява информацията, понятна на разширението iptables:

mkdir /usr/share/xt_geoip

В началото на статията споменахме, че между версията от изходния код и версията от пакетния мениджър има разлики. Най-забележимата разлика е смяната на доставчика на базата данни и скрипта xt_geoip_dl, който изтегля актуалните данни.

Версията от пакетния мениджър

Скриптът се намира на пътя /usr/lib/xtables-addons, но при опит за стартиране може да се види не особено информативна грешка:

# ./xt_geoip_dl 
unzip:  cannot find or open GeoLite2-Country-CSV.zip, GeoLite2-Country-CSV.zip.zip or GeoLite2-Country-CSV.zip.ZIP.

По-рано за база данни се използваше продуктът GeoLite, известен сега като GeoLite Legacy, разпространяван по лиценз Creative Commons ASA 4.0 от компанията MaxMind. С този продукт се случиха две събития, които "счупиха" съвместимостта с разширението за iptables.

На първо място, през януари 2018 година обявиха беше обявено за спиране на поддръжката на продукта, а на втори януари 2019 година от официалния сайт бяха премахнати всички линкове за изтегляне на старата версия на базата. На новите потребители се препоръчва да използват продукта GeoLite2 или платената версия GeoIP2.

На второ място, от декември 2019 година MaxMind обяви обяви за значителна промяна в достъпа до техните бази. За да съответства на закона за защита на правата на потребителите в Калифорния, компанията MaxMind реши да "прикрие" разпространението на GeoLite2 чрез регистрация.

Тъй като искаме да се възползваме от техния продукт, ще се регистрираме на тази страница.

На имейл ще получите съобщение с молба да зададете парола. Сега, когато сме създали акаунт, трябва да създадем лицензионен ключ. В личния си профил намираме опцията Moите лицензионни ключове, а след това натискаме бутона Генерирай нов лицензионен ключ.

При създаването на ключа ще бъдем попитани само един въпрос: ще използваме ли този ключ в програмата GeoIP Update? Отговаряме отрицателно и натискаме бутона Потвърди. В изскачащия прозорец ще се покаже ключът. Запазете този ключ на сигурно място, тъй като след затваряне на изскачащия прозорец, няма да можете да видите ключа в пълен размер.

Имаме възможността да изтегляме бази GeoLite2 ръчно, но техният формат не е съвместим с формата, който очаква скриптът xt_geoip_build. Тук на помощ идват скриптовете GeoLite2xtables. За работа с тях инсталираме perl модула NetAddr::IP:

wget https://cpan.metacpan.org/authors/id/M/MI/MIKER/NetAddr-IP-4.079.tar.gz

tar xvf NetAddr-IP-4.079.tar.gz

cd NetAddr-IP-4.079

perl Makefile.PL

, затова потребителите на Windows трябва да инсталират Cygwin или да се справят сами с Visual Studio и библиотеките.

make install

След това клонираме репозиторито със скриптовете и записваме в файл получения по-рано лицензионен ключ:

git clone https://github.com/mschmitt/GeoLite2xtables.git

cd GeoLite2xtables

echo YOUR_LICENSE_KEY=’123ertyui123' > geolite2.license

Стартираме скриптовете:

# Скачиваем данные GeoLite2
./00_download_geolite2
# Скачиваем информацию о странах (для соответствия коду)
./10_download_countryinfo
# Конвертируем GeoLite2 базу в формат GeoLite Legacy 
cat /tmp/GeoLite2-Country-Blocks-IPv{4,6}.csv |
./20_convert_geolite2 /tmp/CountryInfo.txt > /usr/share/xt_geoip/dbip-country-lite.csv

MaxMind налага ограничение от 2000 изтегляния на ден и при голям брой сървъри предлага кеширане на актуализацията на прокси-сървър.

Обърнете внимание, че изходният файл задължително трябва да се нарича dbip-country-lite.csv. За съжаление, 20_convert_geolite2 дава не идеален файл. Скриптът xt_geoip_build очаква три колони:

• начало на диапазона адреси;
• край на диапазона адреси;
• код на страната в iso-3166-alpha2.

А изходният файл съдържа шест колони:

• начало на диапазона адреси (строково представяне);
• край на диапазона адреси (строково представяне);
• начало на диапазона адреси (числово представяне);
• край на диапазона адреси (числово представяне);
• код на страната;
• име на страната.

Това несъответствие е критично и може да бъде поправено по един от два начина:

1. правим промени 20_convert_geolite2;
2. правим промени xt_geoip_build.

В първия случай намаляваме printf до нужния формат, а във втория — променяме присвояването на променливата $cc на $row->[4]. След това можем да изпълним сборката:

/usr/lib/xtables-addons/xt_geoip_build -S /usr/share/xt_geoip/ -D /usr/share/xt_geoip

. . .
 2239 IPv4 диапазона за ZA
  348 IPv6 диапазона за ZA
   56 IPv4 диапазона за ZM
   12 IPv6 диапазона за ZM
   56 IPv4 диапазона за ZW
   15 IPv6 диапазона за ZW

Забележете, че авторът GeoLite2xtables не счита своите скриптове за готови за продукция и предлага да следим за разработката на оригинални скриптове xt_geoip_*. Следователно, ще преминем към компилация от изходен код, в който тези скриптове вече са обновени.

Версия от изходен код

При инсталиране от изходен код, скриптовете xt_geoip_* се намират в директорията /usr/local/libexec/xtables-addons. В тази версия на скрипта се използва база данни IP to Country Lite. Лицензия — Creative Commons Attribution License, а от наличните данни тези три основни колони. Сваляме и компилираме базата:

cd /usr/share/xt_geoip/

/usr/local/libexec/xtables-addons/xt_geoip_dl

/usr/local/libexec/xtables-addons/xt_geoip_build

След тези действия iptables е готов за работа.

Използваме geoip в iptables

Модул xt_geoip добавя само два ключа:

geoip match options:
[!] --src-cc, --source-country country[,country...]
	Match packet coming from (one of) the specified country(ies)
[!] --dst-cc, --destination-country country[,country...]
	Match packet going to (one of) the specified country(ies)

ЗАБЕЛЕЖКА: Страната се въвежда по ISO3166 код.

Методите за формулиране на правила за iptables остават основно непроменени. За да се използват ключовете от допълнителни модули, е необходимо изрично да се посочи името на модула с ключа -m. Например, правило за блокиране на входящи TCP връзки на порт 443, не идващи от САЩ на всички интерфейси:

iptables -I INPUT ! -i lo -p tcp --dport 443 -m geoip ! --src-cc US -j DROP

Файловете, създадени от xt_geoip_build, се използват само при създаване на правила, но не се отчитат при филтрацията. По този начин, за коректно обновление на geoip базата, първо е необходимо да се обновят iv*-файловете, а след това да се пресъздадат всички правила, които използват geoip в iptables.

Заключение

Филтрацията на пакети в зависимост от принадлежността към страни е малко забравена стратегия. Въпреки това, софтуерните средства за такава филтрация се развиват и, вероятно, в скоро време в пакетните мениджъри ще се появи нова версия на xt_geoip с нов доставчик на geoip данни, което значително ще улесни живота на системните администратори.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

Вие използвали ли сте филтрация по страни?

• 59,1%Да13

• 40,9%Не9

Гласували 22 потребителя. Въздържали се 3 потребителя.

Източник: habr.com