xtables-addons: દેશ દ્વારા ફિલ્ટર પેકેજો

અમુક દેશોના ટ્રાફિકને અવરોધિત કરવાનું કાર્ય સરળ લાગે છે, પરંતુ પ્રથમ છાપ છેતરતી હોઈ શકે છે. આજે અમે તમને જણાવીશું કે આનો અમલ કેવી રીતે કરી શકાય.

પ્રાગૈતિહાસિક

આ વિષય પર Google શોધના પરિણામો નિરાશાજનક છે: મોટાભાગના ઉકેલો લાંબા સમયથી "સડેલા" છે અને કેટલીકવાર એવું લાગે છે કે આ વિષય કાયમ માટે છાવરવામાં આવ્યો છે અને ભૂલી ગયો છે. અમે ઘણા બધા જૂના રેકોર્ડ્સનો અભ્યાસ કર્યો છે અને સૂચનાઓનું આધુનિક સંસ્કરણ શેર કરવા માટે તૈયાર છીએ.

અમે ભલામણ કરીએ છીએ કે તમે આ આદેશોનો અમલ કરતા પહેલા આખો લેખ વાંચો.

ઓપરેટિંગ સિસ્ટમ તૈયાર કરી રહ્યા છીએ

ઉપયોગિતાનો ઉપયોગ કરીને ફિલ્ટરિંગને ગોઠવવામાં આવશે iptables, જેને GeoIP ડેટા સાથે કામ કરવા માટે એક્સ્ટેંશનની જરૂર છે. આ એક્સ્ટેંશન માં મળી શકે છે xtables-addons. xtables-addons સ્વતંત્ર કર્નલ મોડ્યુલો તરીકે iptables માટે એક્સ્ટેંશન ઇન્સ્ટોલ કરે છે, તેથી OS કર્નલને ફરીથી કમ્પાઇલ કરવાની જરૂર નથી.

લખવાના સમયે, xtables-addons નું વર્તમાન સંસ્કરણ 3.9 છે. જો કે, પ્રમાણભૂત ઉબુન્ટુ 20.04 એલટીએસ રિપોઝીટરીઝમાં માત્ર 3.8 અને ઉબુન્ટુ 18.04 રીપોઝીટરીઝમાં 3.0 મળી શકે છે. તમે નીચેના આદેશ સાથે પેકેજ મેનેજરમાંથી એક્સ્ટેંશન ઇન્સ્ટોલ કરી શકો છો:

apt install xtables-addons-common libtext-csv-xs-perl

નોંધ કરો કે સંસ્કરણ 3.9 અને પ્રોજેક્ટની વર્તમાન સ્થિતિ વચ્ચે નાના પરંતુ મહત્વપૂર્ણ તફાવતો છે, જેની અમે પછીથી ચર્ચા કરીશું. સ્રોત કોડમાંથી બનાવવા માટે, બધા જરૂરી પેકેજો ઇન્સ્ટોલ કરો:

apt install git build-essential autoconf make libtool iptables-dev libxtables-dev pkg-config libnet-cidr-lite-perl libtext-csv-xs-perl

રીપોઝીટરીને ક્લોન કરો:

git clone https://git.code.sf.net/p/xtables-addons/xtables-addons xtables-addons-xtables-addons

cd xtables-addons-xtables-addons

xtables-addons માં ઘણા બધા એક્સ્ટેન્શન્સ છે, પરંતુ અમને ફક્ત તેમાં જ રસ છે xt_geoip. જો તમે બિનજરૂરી એક્સ્ટેન્શન્સને સિસ્ટમમાં ખેંચવા માંગતા નથી, તો તમે તેમને બિલ્ડમાંથી બાકાત કરી શકો છો. આ કરવા માટે તમારે ફાઇલમાં ફેરફાર કરવાની જરૂર છે mconfig. બધા ઇચ્છિત મોડ્યુલો માટે, ઇન્સ્ટોલ કરો y, અને બધા બિનજરૂરી ચિહ્નિત કરો n. અમે એકત્રિત કરીએ છીએ:

./autogen.sh

./configure

make

અને સુપરયુઝર અધિકારો સાથે ઇન્સ્ટોલ કરો:

make install

કર્નલ મોડ્યુલોના ઇન્સ્ટોલેશન દરમિયાન, નીચેના જેવી ભૂલ આવી શકે છે:

INSTALL /root/xtables-addons-xtables-addons/extensions/xt_geoip.ko
At main.c:160:
- SSL error:02001002:system library:fopen:No such file or directory: ../crypto/bio/bss_file.c:72
- SSL error:2006D080:BIO routines:BIO_new_file:no such file: ../crypto/bio/bss_file.c:79
sign-file: certs/signing_key.pem: No such file or directory

આ પરિસ્થિતિ કર્નલ મોડ્યુલો પર હસ્તાક્ષર કરવાની અશક્યતાને કારણે ઊભી થાય છે, કારણ કે સહી કરવા માટે કંઈ નથી. તમે આ સમસ્યાને થોડા આદેશો સાથે હલ કરી શકો છો:

cd /lib/modules/(uname -r)/build/certs

cat <<EOF > x509.genkey

[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
prompt = no
string_mask = utf8only
x509_extensions = myexts

[ req_distinguished_name ]
CN = Modules

[ myexts ]
basicConstraints=critical,CA:FALSE
keyUsage=digitalSignature
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid
EOF

openssl req -new -nodes -utf8 -sha512 -days 36500 -batch -x509 -config x509.genkey -outform DER -out signing_key.x509 -keyout signing_key.pem

સંકલિત કર્નલ મોડ્યુલ સ્થાપિત થયેલ છે, પરંતુ સિસ્ટમ તેને શોધી શકતી નથી. ચાલો સિસ્ટમને નવા મોડ્યુલને ધ્યાનમાં લઈને નિર્ભરતા નકશો બનાવવા માટે કહીએ અને પછી તેને લોડ કરીએ:

depmod -a

modprobe xt_geoip

ચાલો ખાતરી કરીએ કે xt_geoip સિસ્ટમમાં લોડ થયેલ છે:

# lsmod | grep xt_geoip
xt_geoip               16384  0
x_tables               40960  2 xt_geoip,ip_tables

વધુમાં, ખાતરી કરો કે એક્સ્ટેંશન iptables માં લોડ થયેલ છે:

# cat /proc/net/ip_tables_matches 
geoip
icmp

અમે દરેક વસ્તુથી ખુશ છીએ અને જે બાકી છે તે મોડ્યુલનું નામ ઉમેરવાનું છે / વગેરે / મોડ્યુલોજેથી મોડ્યુલ OS રીબૂટ કર્યા પછી કામ કરે. હવેથી, iptables geoip આદેશોને સમજે છે, પરંતુ તેની સાથે કામ કરવા માટે પૂરતો ડેટા નથી. ચાલો geoip ડેટાબેઝ લોડ કરવાનું શરૂ કરીએ.

GeoIP ડેટાબેઝ મેળવવું

અમે એક ડિરેક્ટરી બનાવીએ છીએ જેમાં iptables એક્સ્ટેંશનને સમજી શકાય તેવી માહિતી સંગ્રહિત કરવામાં આવશે:

mkdir /usr/share/xt_geoip

લેખની શરૂઆતમાં, અમે ઉલ્લેખ કર્યો છે કે સ્રોત કોડના સંસ્કરણ અને પેકેજ મેનેજરના સંસ્કરણ વચ્ચે તફાવત છે. સૌથી નોંધપાત્ર તફાવત એ ડેટાબેઝ વેન્ડર અને સ્ક્રિપ્ટમાં ફેરફાર છે xt_geoip_dl, જે નવીનતમ ડેટા ડાઉનલોડ કરે છે.

પેકેજ મેનેજર વર્ઝન

સ્ક્રિપ્ટ પાથ /usr/lib/xtables-addons માં સ્થિત છે, પરંતુ જ્યારે તમે તેને ચલાવવાનો પ્રયાસ કરશો, ત્યારે તમને બહુ માહિતીપ્રદ ભૂલ દેખાશે નહીં:

# ./xt_geoip_dl 
unzip:  cannot find or open GeoLite2-Country-CSV.zip, GeoLite2-Country-CSV.zip.zip or GeoLite2-Country-CSV.zip.ZIP.

અગાઉ, જીઓલાઇટ પ્રોડક્ટ, જે હવે જીયોલાઇટ લેગસી તરીકે ઓળખાય છે, જે લાયસન્સ હેઠળ વિતરિત થાય છે, તેનો ડેટાબેઝ તરીકે ઉપયોગ થતો હતો. ક્રિએટિવ કોમન્સ ASA 4.0 કંપની મેક્સમાઇન્ડ. આ ઉત્પાદન સાથે એક જ સમયે બે ઘટનાઓ બની જેણે iptables એક્સ્ટેંશન સાથે સુસંગતતા "તોડ" કરી.

સૌ પ્રથમ, જાન્યુઆરી 2018 માં જાહેરાત કરી ઉત્પાદન માટેના સમર્થનની સમાપ્તિ વિશે, અને 2019 જાન્યુઆરી, 2 ના રોજ, ડેટાબેઝના જૂના સંસ્કરણને ડાઉનલોડ કરવા માટેની બધી લિંક્સ સત્તાવાર વેબસાઇટ પરથી દૂર કરવામાં આવી હતી. નવા વપરાશકર્તાઓને GeoLite2 પ્રોડક્ટ અથવા તેના પેઇડ વર્ઝન GeoIPXNUMXનો ઉપયોગ કરવાની ભલામણ કરવામાં આવે છે.

બીજું, ડિસેમ્બર 2019 થી MaxMind જણાવ્યું હતું તેમના ડેટાબેઝની ઍક્સેસમાં નોંધપાત્ર ફેરફાર વિશે. કેલિફોર્નિયા કન્ઝ્યુમર પ્રાઈવસી એક્ટનું પાલન કરવા માટે, MaxMind એ નોંધણી સાથે GeoLite2 ના વિતરણને "કવર" કરવાનું નક્કી કર્યું છે.

અમે તેમના ઉત્પાદનનો ઉપયોગ કરવા માંગીએ છીએ, તેથી અમે આ પૃષ્ઠ પર નોંધણી કરીશું.

પછી તમને પાસવર્ડ સેટ કરવાનું કહેતો ઈમેલ પ્રાપ્ત થશે. હવે જ્યારે અમે એકાઉન્ટ બનાવ્યું છે, તો અમારે લાઇસન્સ કી બનાવવાની જરૂર છે. તમારા વ્યક્તિગત ખાતામાં અમે આઇટમ શોધીએ છીએ મારી લાઇસન્સ કીઓ, અને પછી બટન પર ક્લિક કરો નવી લાઇસન્સ કી જનરેટ કરો.

કી બનાવતી વખતે, અમને ફક્ત એક જ પ્રશ્ન પૂછવામાં આવશે: શું આપણે આ કીનો ઉપયોગ જીઓઆઈપી અપડેટ પ્રોગ્રામમાં કરીશું? અમે નકારાત્મક જવાબ આપીએ છીએ અને બટન દબાવો ખાતરી કરો. કી પોપ-અપ વિન્ડોમાં પ્રદર્શિત થશે. આ કીને સુરક્ષિત જગ્યાએ સાચવો, કારણ કે એકવાર તમે પોપ-અપ વિન્ડો બંધ કરી દો, પછી તમે આખી કી જોઈ શકશો નહીં.

અમારી પાસે GeoLite2 ડેટાબેસેસ મેન્યુઅલી ડાઉનલોડ કરવાની ક્ષમતા છે, પરંતુ તેમનું ફોર્મેટ xt_geoip_build સ્ક્રિપ્ટ દ્વારા અપેક્ષિત ફોર્મેટ સાથે સુસંગત નથી. આ તે છે જ્યાં GeoLite2xtables સ્ક્રિપ્ટો બચાવમાં આવે છે. સ્ક્રિપ્ટો ચલાવવા માટે, NetAddr::IP પર્લ મોડ્યુલ ઇન્સ્ટોલ કરો:

wget https://cpan.metacpan.org/authors/id/M/MI/MIKER/NetAddr-IP-4.079.tar.gz

tar xvf NetAddr-IP-4.079.tar.gz

cd NetAddr-IP-4.079

perl Makefile.PL

make

make install

આગળ, અમે સ્ક્રિપ્ટો સાથે રીપોઝીટરીને ક્લોન કરીએ છીએ અને ફાઇલમાં અગાઉ મેળવેલ લાઇસન્સ કી લખીએ છીએ:

git clone https://github.com/mschmitt/GeoLite2xtables.git

cd GeoLite2xtables

echo YOUR_LICENSE_KEY=’123ertyui123' > geolite2.license

ચાલો સ્ક્રિપ્ટો ચલાવીએ:

# Скачиваем данные GeoLite2
./00_download_geolite2
# Скачиваем информацию о странах (для соответствия коду)
./10_download_countryinfo
# Конвертируем GeoLite2 базу в формат GeoLite Legacy 
cat /tmp/GeoLite2-Country-Blocks-IPv{4,6}.csv |
./20_convert_geolite2 /tmp/CountryInfo.txt > /usr/share/xt_geoip/dbip-country-lite.csv

MaxMind પ્રતિ દિવસ 2000 ડાઉનલોડ્સની મર્યાદા લાદે છે અને મોટી સંખ્યામાં સર્વર્સ સાથે, પ્રોક્સી સર્વર પર અપડેટને કેશ કરવાની ઑફર કરે છે.

મહેરબાની કરીને નોંધ કરો કે આઉટપુટ ફાઇલને કૉલ કરવી આવશ્યક છે dbip-country-lite.csv... દુર્ભાગ્યે, 20_convert_geolite2 સંપૂર્ણ ફાઇલ ઉત્પન્ન કરતું નથી. સ્ક્રિપ્ટ xt_geoip_build ત્રણ સ્તંભોની અપેક્ષા:

• સરનામાની શ્રેણીની શરૂઆત;
• સરનામાની શ્રેણીનો અંત;
• iso-3166-alpha2 માં દેશનો કોડ.

અને આઉટપુટ ફાઇલમાં છ કૉલમ છે:

• સરનામાની શ્રેણીની શરૂઆત (શબ્દમાળાનું પ્રતિનિધિત્વ);
• સરનામાની શ્રેણીનો અંત (સ્ટ્રિંગ રજૂઆત);
• સરનામાની શ્રેણીની શરૂઆત (સંખ્યાત્મક રજૂઆત);
• સરનામાની શ્રેણીનો અંત (સંખ્યાત્મક રજૂઆત);
• દેશનો કોડ;
• દેશનું નામ.

આ વિસંગતતા મહત્વપૂર્ણ છે અને તેને બેમાંથી એક રીતે સુધારી શકાય છે:

1. ફેરફાર કરો 20_convert_geolite2;
2. ફેરફાર કરો xt_geoip_build.

પ્રથમ કિસ્સામાં અમે ઘટાડો printf જરૂરી ફોર્મેટમાં, અને બીજામાં - અમે અસાઇનમેન્ટને વેરીએબલમાં બદલીએ છીએ $cc પર $row->[4]. આ પછી તમે બનાવી શકો છો:

/usr/lib/xtables-addons/xt_geoip_build -S /usr/share/xt_geoip/ -D /usr/share/xt_geoip

. . .
 2239 IPv4 ranges for ZA
  348 IPv6 ranges for ZA
   56 IPv4 ranges for ZM
   12 IPv6 ranges for ZM
   56 IPv4 ranges for ZW
   15 IPv6 ranges for ZW

નોંધ કરો કે લેખક GeoLite2xtables તેની સ્ક્રિપ્ટને પ્રોડક્શન અને ઑફર્સ માટે તૈયાર નથી માનતી ટ્રેક મૂળ xt_geoip_* સ્ક્રિપ્ટોના વિકાસ માટે. તેથી, ચાલો સ્રોત કોડ્સમાંથી એસેમ્બલી તરફ આગળ વધીએ, જેમાં આ સ્ક્રિપ્ટો પહેલેથી અપડેટ કરવામાં આવી છે.

સ્ત્રોત સંસ્કરણ

સ્રોત કોડ સ્ક્રિપ્ટોમાંથી ઇન્સ્ટોલ કરતી વખતે xt_geoip_* સૂચિમાં સ્થિત છે /usr/local/libexec/xtables-addons. સ્ક્રિપ્ટનું આ સંસ્કરણ ડેટાબેઝનો ઉપયોગ કરે છે IP થી કન્ટ્રી લાઇટ. લાઇસન્સ ક્રિએટીવ કોમન્સ એટ્રિબ્યુશન લાઇસન્સ છે, અને ઉપલબ્ધ ડેટામાંથી ત્યાં ખૂબ જ જરૂરી ત્રણ કૉલમ છે. ડેટાબેઝ ડાઉનલોડ કરો અને એસેમ્બલ કરો:

cd /usr/share/xt_geoip/

/usr/local/libexec/xtables-addons/xt_geoip_dl

/usr/local/libexec/xtables-addons/xt_geoip_build

આ પગલાંઓ પછી, iptables કામ કરવા માટે તૈયાર છે.

iptables માં geoip નો ઉપયોગ કરવો

મોડ્યુલ xt_geoip ફક્ત બે કીઓ ઉમેરે છે:

geoip match options:
[!] --src-cc, --source-country country[,country...]
	Match packet coming from (one of) the specified country(ies)
[!] --dst-cc, --destination-country country[,country...]
	Match packet going to (one of) the specified country(ies)

NOTE: The country is inputed by its ISO3166 code.

iptables માટે નિયમો બનાવવા માટેની પદ્ધતિઓ, સામાન્ય રીતે, યથાવત રહે છે. વધારાના મોડ્યુલોમાંથી કીનો ઉપયોગ કરવા માટે, તમારે -m સ્વીચ સાથે મોડ્યુલનું નામ સ્પષ્ટપણે સ્પષ્ટ કરવું પડશે. ઉદાહરણ તરીકે, પોર્ટ 443 પર આવનારા TCP કનેક્શન્સને તમામ ઈન્ટરફેસ પર યુએસએથી નહીં અવરોધિત કરવાનો નિયમ:

iptables -I INPUT ! -i lo -p tcp --dport 443 -m geoip ! --src-cc US -j DROP

xt_geoip_build દ્વારા બનાવેલ ફાઇલોનો ઉપયોગ નિયમો બનાવતી વખતે જ થાય છે, પરંતુ ફિલ્ટર કરતી વખતે ધ્યાનમાં લેવામાં આવતી નથી. આમ, geoip ડેટાબેઝને યોગ્ય રીતે અપડેટ કરવા માટે, તમારે પહેલા iv* ફાઈલો અપડેટ કરવી પડશે, અને પછી iptables માં geoip નો ઉપયોગ કરતા તમામ નિયમોને ફરીથી બનાવવો પડશે.

નિષ્કર્ષ

દેશો પર આધારિત પેકેટોને ફિલ્ટર કરવું એ સમય દ્વારા કંઈક અંશે ભૂલી ગયેલી વ્યૂહરચના છે. આ હોવા છતાં, આવા ફિલ્ટરિંગ માટેના સોફ્ટવેર ટૂલ્સ વિકસાવવામાં આવી રહ્યા છે અને, કદાચ, ટૂંક સમયમાં નવા જીઓપ ડેટા પ્રદાતા સાથે xt_geoip નું નવું સંસ્કરણ પેકેજ મેનેજર્સમાં દેખાશે, જે સિસ્ટમ સંચાલકોના જીવનને મોટા પ્રમાણમાં સરળ બનાવશે.

ફક્ત નોંધાયેલા વપરાશકર્તાઓ જ સર્વેમાં ભાગ લઈ શકે છે. સાઇન ઇન કરો, મહેરબાની કરીને.

શું તમે ક્યારેય દેશ દ્વારા ફિલ્ટરિંગનો ઉપયોગ કર્યો છે?

• 59,1%હા 13

• 40,9%નંબર 9

22 વપરાશકર્તાઓએ મત ​​આપ્યો. 3 વપરાશકર્તાઓ દૂર રહ્યા.

સોર્સ: www.habr.com