xtables-addons: 국가별로 패키지 필터링

특정 국가의 트래픽을 차단하는 작업은 간단해 보이지만 첫인상은 속일 수 있습니다. 오늘은 이것이 어떻게 구현될 수 있는지 알려드리겠습니다.

선사 시대

이 주제에 대한 Google 검색 결과는 실망스럽습니다. 대부분의 솔루션은 오랫동안 "썩은" 것이었고 때로는 이 주제가 영원히 보류되고 잊혀진 것처럼 보입니다. 우리는 많은 오래된 기록을 샅샅이 뒤져 현대 버전의 지침을 공유할 준비가 되었습니다.

이 명령을 실행하기 전에 전체 기사를 읽어 보는 것이 좋습니다.

운영 체제 준비

필터링은 유틸리티를 사용하여 구성됩니다. iptables에, GeoIP 데이터를 사용하려면 확장이 필요합니다. 이 확장은 다음에서 찾을 수 있습니다. xtables-애드온. xtables-addons는 iptables용 확장을 독립 커널 모듈로 설치하므로 OS 커널을 다시 컴파일할 필요가 없습니다.

이 글을 쓰는 시점에서 xtables-addons의 현재 버전은 3.9입니다. 그러나 표준 Ubuntu 20.04 LTS 리포지토리에서는 3.8만 찾을 수 있고 Ubuntu 18.04 리포지토리에서는 3.0만 찾을 수 있습니다. 다음 명령을 사용하여 패키지 관리자에서 확장 기능을 설치할 수 있습니다.

apt install xtables-addons-common libtext-csv-xs-perl

버전 3.9와 프로젝트의 현재 상태 사이에는 작지만 중요한 차이점이 있습니다. 이에 대해서는 나중에 논의하겠습니다. 소스 코드에서 빌드하려면 필요한 패키지를 모두 설치하세요.

apt install git build-essential autoconf make libtool iptables-dev libxtables-dev pkg-config libnet-cidr-lite-perl libtext-csv-xs-perl

저장소를 복제합니다.

git clone https://git.code.sf.net/p/xtables-addons/xtables-addons xtables-addons-xtables-addons

cd xtables-addons-xtables-addons

xtables-addons에는 많은 확장 기능이 포함되어 있지만 우리는 다음에만 관심이 있습니다. xt_geoip. 불필요한 확장을 시스템으로 끌어오고 싶지 않다면 빌드에서 제외할 수 있습니다. 이렇게 하려면 파일을 편집해야 합니다. mconfig. 원하는 모든 모듈에 대해 설치 y, 불필요한 항목은 모두 표시하세요. n. 우리는 다음을 수집합니다:

./autogen.sh

./configure

make

그리고 슈퍼유저 권한으로 설치합니다:

make install

커널 모듈을 설치하는 동안 다음과 유사한 오류가 발생할 수 있습니다.

INSTALL /root/xtables-addons-xtables-addons/extensions/xt_geoip.ko
At main.c:160:
- SSL error:02001002:system library:fopen:No such file or directory: ../crypto/bio/bss_file.c:72
- SSL error:2006D080:BIO routines:BIO_new_file:no such file: ../crypto/bio/bss_file.c:79
sign-file: certs/signing_key.pem: No such file or directory

이 상황은 커널 모듈 서명이 불가능하기 때문에 발생합니다. 서명할 것이 없습니다. 다음 몇 가지 명령을 사용하여 이 문제를 해결할 수 있습니다.

cd /lib/modules/(uname -r)/build/certs

cat <<EOF > x509.genkey

[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
prompt = no
string_mask = utf8only
x509_extensions = myexts

[ req_distinguished_name ]
CN = Modules

[ myexts ]
basicConstraints=critical,CA:FALSE
keyUsage=digitalSignature
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid
EOF

openssl req -new -nodes -utf8 -sha512 -days 36500 -batch -x509 -config x509.genkey -outform DER -out signing_key.x509 -keyout signing_key.pem

컴파일된 커널 모듈이 설치되었지만 시스템이 이를 감지하지 못합니다. 새 모듈을 고려하여 종속성 맵을 생성하도록 시스템에 요청한 다음 이를 로드해 보겠습니다.

depmod -a

modprobe xt_geoip

xt_geoip가 시스템에 로드되었는지 확인하겠습니다.

# lsmod | grep xt_geoip
xt_geoip               16384  0
x_tables               40960  2 xt_geoip,ip_tables

또한 확장이 iptables에 로드되었는지 확인하세요.

# cat /proc/net/ip_tables_matches 
geoip
icmp

우리는 모든 것에 만족하며 남은 것은 모듈 이름을 추가하는 것입니다. / etc / 모듈OS를 재부팅한 후 모듈이 작동하도록 합니다. 이제부터 iptables는 geoip 명령을 이해하지만 작업할 데이터가 충분하지 않습니다. geoip 데이터베이스 로드를 시작하겠습니다.

GeoIP 데이터베이스 가져오기

iptables 확장이 이해할 수 있는 정보가 저장될 디렉토리를 만듭니다:

mkdir /usr/share/xt_geoip

기사 시작 부분에서 소스 코드 버전과 패키지 관리자 버전에 차이가 있다고 언급했습니다. 가장 눈에 띄는 차이점은 데이터베이스 공급업체와 스크립트의 변경입니다. xt_geoip_dl, 최신 데이터를 다운로드합니다.

패키지 관리자 버전

스크립트는 /usr/lib/xtables-addons 경로에 있지만 실행하려고 하면 그다지 유익하지 않은 오류가 표시됩니다.

# ./xt_geoip_dl 
unzip:  cannot find or open GeoLite2-Country-CSV.zip, GeoLite2-Country-CSV.zip.zip or GeoLite2-Country-CSV.zip.ZIP.

이전에는 라이선스에 따라 배포되는 GeoLite Legacy로 알려진 GeoLite 제품이 데이터베이스로 사용되었습니다. 크리에이티브 커먼즈 ASA 4.0 회사 별 MaxMind. 이 제품에서는 iptables 확장과의 호환성이 "파괴"되는 두 가지 이벤트가 동시에 발생했습니다.

먼저 2018년 XNUMX월 발표하다 제품 지원 종료에 대해 안내했으며, 2019년 2월 2일 공식 웹사이트에서 이전 버전의 데이터베이스 다운로드 링크가 모두 제거되었습니다. 신규 사용자는 GeoLiteXNUMX 제품이나 유료 버전인 GeoIPXNUMX를 사용하는 것이 좋습니다.

둘째, 2019년 XNUMX월부터 MaxMind 그는 진술 데이터베이스 액세스에 대한 중요한 변경 사항에 대해 알려드립니다. 캘리포니아 소비자 개인 정보 보호법을 준수하기 위해 MaxMind는 등록을 통해 GeoLite2 배포를 "포함"하기로 결정했습니다.

우리는 해당 제품을 사용하고 싶기 때문에 이 페이지에서 등록하겠습니다.

그러면 비밀번호 설정을 요청하는 이메일을 받게 됩니다. 이제 계정을 만들었으니 라이센스 키를 만들어야 합니다. 귀하의 개인 계정에서 항목을 찾습니다 내 라이센스 키을 클릭한 다음 버튼을 클릭하세요. 새 라이센스 키 생성.

키를 생성할 때 단 하나의 질문만 받게 됩니다. GeoIP 업데이트 프로그램에서 이 키를 사용할 것인가? 부정적으로 대답하고 버튼을 누른다 확인하기. 키가 팝업 창에 표시됩니다. 팝업 창을 닫으면 더 이상 전체 키를 볼 수 없으므로 이 키를 안전한 곳에 저장하세요.

GeoLite2 데이터베이스를 수동으로 다운로드할 수 있지만 해당 형식이 xt_geoip_build 스크립트에서 예상하는 형식과 호환되지 않습니다. 이것이 GeoLite2xtables 스크립트가 구출되는 곳입니다. 스크립트를 실행하려면 NetAddr::IP perl 모듈을 설치하십시오.

wget https://cpan.metacpan.org/authors/id/M/MI/MIKER/NetAddr-IP-4.079.tar.gz

tar xvf NetAddr-IP-4.079.tar.gz

cd NetAddr-IP-4.079

perl Makefile.PL

make

make install

다음으로, 스크립트를 사용하여 저장소를 복제하고 이전에 얻은 라이센스 키를 파일에 씁니다.

git clone https://github.com/mschmitt/GeoLite2xtables.git

cd GeoLite2xtables

echo YOUR_LICENSE_KEY=’123ertyui123' > geolite2.license

스크립트를 실행해 보겠습니다.

# Скачиваем данные GeoLite2
./00_download_geolite2
# Скачиваем информацию о странах (для соответствия коду)
./10_download_countryinfo
# Конвертируем GeoLite2 базу в формат GeoLite Legacy 
cat /tmp/GeoLite2-Country-Blocks-IPv{4,6}.csv |
./20_convert_geolite2 /tmp/CountryInfo.txt > /usr/share/xt_geoip/dbip-country-lite.csv

MaxMind는 하루에 2000번의 다운로드 제한을 두고 있으며, 서버 수가 많은 경우 프록시 서버에 업데이트를 캐시할 수 있는 기능을 제공합니다.

출력 파일을 호출해야 합니다. dbip-국가-lite.csv... 안타깝게도, 20_convert_geolite2 완벽한 파일을 생성하지 않습니다. 스크립트 xt_geoip_build 세 개의 열이 필요합니다.

• 주소 범위의 시작;
• 주소 범위 끝;
• iso-3166-alpha2의 국가 코드입니다.

그리고 출력 파일에는 XNUMX개의 열이 포함되어 있습니다.

• 주소 범위의 시작(문자열 표현)
• 주소 범위 끝(문자열 표현)
• 주소 범위의 시작(숫자 표현)
• 주소 범위 끝(숫자 표현)
• 국가 코드;
• 나라의 이름.

이러한 불일치는 매우 중요하며 다음 두 가지 방법 중 하나로 수정할 수 있습니다.

1. 통치하다 20_convert_geolite2;
2. 통치하다 xt_geoip_build.

첫 번째 경우에는 감소합니다. printf 필요한 형식으로 변경하고 두 번째에서는 변수에 대한 할당을 변경합니다. $cc 에 $행->[4]. 그 후에는 다음을 빌드할 수 있습니다.

/usr/lib/xtables-addons/xt_geoip_build -S /usr/share/xt_geoip/ -D /usr/share/xt_geoip

. . .
 2239 IPv4 ranges for ZA
  348 IPv6 ranges for ZA
   56 IPv4 ranges for ZM
   12 IPv6 ranges for ZM
   56 IPv4 ranges for ZW
   15 IPv6 ranges for ZW

참고로 저자는 GeoLite2x테이블 스크립트가 프로덕션 및 제안 준비가 된 것으로 간주하지 않습니다. 따르다 원본 xt_geoip_* 스크립트 개발을 위한 것입니다. 따라서 이러한 스크립트가 이미 업데이트된 소스 코드에서 어셈블리로 이동해 보겠습니다.

소스 버전

소스 코드 스크립트에서 설치하는 경우 xt_geoip_* 카탈로그에 있습니다 /usr/local/libexec/xtables-addons. 이 버전의 스크립트는 데이터베이스를 사용합니다. IP에서 국가 라이트로. 라이선스는 Creative Commons Attribution License이며 사용 가능한 데이터에는 매우 필요한 세 개의 열이 있습니다. 데이터베이스를 다운로드하고 어셈블합니다.

cd /usr/share/xt_geoip/

/usr/local/libexec/xtables-addons/xt_geoip_dl

/usr/local/libexec/xtables-addons/xt_geoip_build

이 단계를 마치면 iptables가 작동할 준비가 됩니다.

iptables에서 geoip 사용

기준 치수 xt_geoip 두 개의 키만 추가합니다.

geoip match options:
[!] --src-cc, --source-country country[,country...]
	Match packet coming from (one of) the specified country(ies)
[!] --dst-cc, --destination-country country[,country...]
	Match packet going to (one of) the specified country(ies)

NOTE: The country is inputed by its ISO3166 code.

일반적으로 iptables에 대한 규칙을 생성하는 방법은 변경되지 않습니다. 추가 모듈의 키를 사용하려면 -m 스위치를 사용하여 모듈 이름을 명시적으로 지정해야 합니다. 예를 들어 모든 인터페이스에서 미국이 아닌 포트 443에서 들어오는 TCP 연결을 차단하는 규칙은 다음과 같습니다.

iptables -I INPUT ! -i lo -p tcp --dport 443 -m geoip ! --src-cc US -j DROP

xt_geoip_build로 생성된 파일은 규칙 생성 시에만 사용되며 필터링 시에는 고려되지 않습니다. 따라서 geoip 데이터베이스를 올바르게 업데이트하려면 먼저 iv* 파일을 업데이트한 다음 iptables에서 geoip를 사용하는 모든 규칙을 다시 생성해야 합니다.

결론

국가별로 패킷을 필터링하는 것은 시간이 지나면서 다소 잊혀진 전략입니다. 그럼에도 불구하고 이러한 필터링을 위한 소프트웨어 도구가 개발되고 있으며 아마도 곧 새로운 geoip 데이터 공급자가 포함된 xt_geoip의 새 버전이 패키지 관리자에 나타나 시스템 관리자의 삶을 크게 단순화할 것입니다.

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

국가별 필터링을 사용해 본 적이 있나요?

• 59,1%예13

• 40,9%9

22명의 사용자가 투표했습니다. 3명의 사용자가 기권했습니다.

출처 : habr.com