xtables-addons: filtrerar paket efter länder

Uppgiften att blockera trafik från vissa länder verkar enkel, men första intrycket är missvisande. Idag ska vi berätta hur detta kan genomföras.

Bakgrund

Sökresultaten på Google kring detta ämne är nedslående: de flesta lösningar är sedan länge "föråldrade" och det verkar ibland som att detta ämne har lagts åt sidan för gott. Vi har "genomgått" många gamla inlägg och är redo att dela med oss av en modern version av instruktionerna.

Vi rekommenderar att läsa hela artikeln innan du utför de angivna kommandona.

Förberedelse av operativsystemet

Filtrering kommer att konfigureras med hjälp av verktyget iptables, vilket kräver en tillägg för att arbeta med GeoIP-data. Sådana tillägg kan hittas i xtables-addons. xtables-addons installerar tillägg för iptables i form av fristående kärnmoduler, vilket gör att det inte behövs att kompilera om operativsystemets kärna.

Vid tidpunkten för artikelns skrivande var den aktuella versionen av xtables-addons — 3.9. Dock kan man endast hitta version 3.8 i de standardarkiven för Ubuntu 20.04 LTS, och i arkiven för Ubuntu 18.04 — 3.0. För att installera tillägget från paketförvaltaren kan man använda följande kommando:

apt install xtables-addons-common libtext-csv-xs-perl

Vi noterar att det finns små men viktiga skillnader mellan version 3.9 och det nuvarande tillståndet för projektet, som vi kommer att diskutera senare. För att bygga från källkoden installerar vi alla nödvändiga paket:

apt install git build-essential autoconf make libtool iptables-dev libxtables-dev pkg-config libnet-cidr-lite-perl libtext-csv-xs-perl

Vi klonar arkivet:

git clone https://git.code.sf.net/p/xtables-addons/xtables-addons xtables-addons-xtables-addons

cd xtables-addons-xtables-addons

xtables-addons innehåller många tillägg, men vi är intresserade av enbart xt_geoip. Om du inte vill ta in onödiga tillägg i systemet kan de exkluderas från bygget. För detta måste filen mconfigredigeras. För alla önskade moduler sätter du y, och alla onödiga markerar du som n. Vi bygger:

./autogen.sh

./configure

make

Och installerar med superanvändarrättigheter:

make install

Under installationen av kärnmoduler kan ett fel av följande art uppstå:

INSTALL /root/xtables-addons-xtables-addons/extensions/xt_geoip.ko
At main.c:160:
- SSL error:02001002:system library:fopen:No such file or directory: ../crypto/bio/bss_file.c:72
- SSL error:2006D080:BIO routines:BIO_new_file:no such file: ../crypto/bio/bss_file.c:79
sign-file: certs/signing_key.pem: No such file or directory

En sådan situation uppstår på grund av oförmågan att signera kärnmoduler, eftersom det saknas ett medel för att signera. Det går att lösa detta problem med ett par kommandon:

cd /lib/modules/(uname -r)/build/certs

cat < x509.genkey

[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
prompt = no
string_mask = utf8only
x509_extensions = myexts

[ req_distinguished_name ]
CN = Modules

[ myexts ]
basicConstraints=critical,CA:FALSE
keyUsage=digitalSignature
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid
EOF

openssl req -new -nodes -utf8 -sha512 -days 36500 -batch -x509 -config x509.genkey -outform DER -out signing_key.x509 -keyout signing_key.pem

Den kompilerade kärnmodulen är installerad, men systemet känner inte igen den. Låt oss be systemet att skapa en beroendekarta som tar hänsyn till den nya modulen och sedan ladda den:

depmod -a

modprobe xt_geoip

Vi kontrollerar att xt_geoip har laddats in i systemet:

# lsmod | grep xt_geoip
xt_geoip               16384  0
x_tables               40960  2 xt_geoip,ip_tables

Dessutom kontrollerar vi att tillägget har laddats in i iptables:

# cat /proc/net/ip_tables_matches 
geoip
icmp

Vi är nöjda och det återstår bara att lägga till modulens namn i /etc/modules, så att modulen aktiveras efter omstart av operativsystemet. Från och med nu förstår iptables geoip-kommandon, men det saknas data för att fungera. Vi börjar ladda ner geoip-databasen.

Hämtar GeoIP-databasen

Vi skapar en katalog där informationen, som tillägget iptables kan förstå, kommer att lagras:

mkdir /usr/share/xt_geoip

I början av artikeln nämnde vi att det finns skillnader mellan versionen från källkoden och versionen från paketförvaltaren. Den mest märkbara skillnaden är bytet av databasutgivare och skriptet xt_geoip_dl, som hämtar aktuella data.

Versionen från paketförvaltaren

Skripten ligger på vägen /usr/lib/xtables-addons, men vid ett försök att köra det kan man se ett mindre informativt felmeddelande:

# ./xt_geoip_dl 
unzip:  cannot find or open GeoLite2-Country-CSV.zip, GeoLite2-Country-CSV.zip.zip or GeoLite2-Country-CSV.zip.ZIP.

Tidigare användes GeoLite-produktens databas, numera känd som GeoLite Legacy, som distribuerades under licensen Creative Commons ASA 4.0 av företaget MaxMind. Med denna produkt inträffade två händelser som "bröt" kompatibiliteten med tillägget för iptables.

För det första, i januari 2018 400 företag. Bland dessa finns både små startups och stora IT-företag. upphörde produkten att stödjas, och den andra januari 2019 togs alla länkar till nedladdning av den gamla versionen bort från den officiella webbplatsen. Nya användare rekommenderas att använda produkten GeoLite2 eller dess betalda version GeoIP2.

För det andra, från och med december 2019 meddelade MaxMind att en betydande förändring i tillgången till deras databaser. För att följa Kaliforniens lag om konsumentskydd beslutade MaxMind att "stänga" distributionen av GeoLite2 genom registrering.

Eftersom vi vill använda deras produkt, kommer vi att registrera oss på denna sida.

Efteråt kommer ett meddelande till din e-post med en begäran om att ställa in ditt lösenord. Nu när vi har skapat ett konto måste vi skapa en licensnyckel. I ditt personliga konto hittar du avsnittet Mina licensnycklar, och sedan klickar vi på knappen Skapa ny licensnyckel.

Vid skapandet av nyckeln kommer vi att ställas en enda fråga: kommer vi att använda denna nyckel i programmet GeoIP Update? Vi svarar nej och klickar på knappen Bekräfta. I popup-fönstret kommer nyckeln att visas. Spara denna nyckel på en säker plats, eftersom du efter att popup-fönstret stängs inte längre kan se nyckeln i sin helhet.

Vi har möjlighet att ladda ner GeoLite2-databaser manuellt, men deras format är inte kompatibelt med det format som skriptet xt_geoip_build förväntar sig. Här kommer skripten GeoLite2xtables till hjälp. För att få skripten att fungera installerar vi perl-modulen NetAddr::IP:

wget https://cpan.metacpan.org/authors/id/M/MI/MIKER/NetAddr-IP-4.079.tar.gz

tar xvf NetAddr-IP-4.079.tar.gz

cd NetAddr-IP-4.079

perl Makefile.PL

make

make install

Därefter klonar vi arkivet med skripten och skriver den tidigare erhållna licensnyckeln i en fil:

git clone https://github.com/mschmitt/GeoLite2xtables.git

cd GeoLite2xtables

echo YOUR_LICENSE_KEY=’123ertyui123' > geolite2.license

Vi kör skripten:

# Скачиваем данные GeoLite2
./00_download_geolite2
# Скачиваем информацию о странах (для соответствия коду)
./10_download_countryinfo
# Конвертируем GeoLite2 базу в формат GeoLite Legacy 
cat /tmp/GeoLite2-Country-Blocks-IPv{4,6}.csv |
./20_convert_geolite2 /tmp/CountryInfo.txt > /usr/share/xt_geoip/dbip-country-lite.csv

MaxMind sätter en begränsning på 2000 nedladdningar per dag och vid ett stort antal servrar rekommenderar de att cacha uppdateringar på en proxyserver.

Observera att utdatafilen måste heter dbip-country-lite.csv. Tyvärr, 20_convert_geolite2 ger inte en perfekt fil. Skriptet xt_geoip_build förväntar sig tre kolumner:

• början av adressintervallet;
• slutet av adressintervallet;
• lands kod i iso-3166-alpha2.

Och utdatafilen innehåller sex kolumner:

• början av adressintervallet (strängrepresentation);
• slutet av adressintervallet (strängrepresentation);
• början av adressintervallet (numerisk representation);
• slutet av adressintervallet (numerisk representation);
• lands kod;
• landsnamn.

Denna inkonsekvens är kritisk och kan korrigeras på ett av två sätt:

1. reda ut 20_convert_geolite2;
2. reda ut xt_geoip_build.

I det första fallet förkortar vi printf till rätt format, och i det andra — ändrar vi tilldelningen av variabeln $cc till $row->[4]. Efter det kan vi utföra sammanställningen:

/usr/lib/xtables-addons/xt_geoip_build -S /usr/share/xt_geoip/ -D /usr/share/xt_geoip

. . .
 2239 IPv4-områden för ZA
  348 IPv6-områden för ZA
   56 IPv4-områden för ZM
   12 IPv6-områden för ZM
   56 IPv4-områden för ZW
   15 IPv6-områden för ZW

Vi noterar att författaren GeoLite2xtables inte anser att sina skript är redo för produktion och föreslår att hålla utkik för utvecklingen av originalskripten xt_geoip_*. Så vi går vidare till att bygga från källkoden där dessa skript redan har uppdaterats.

Version från källkoden

Vid installation från källkoden skripten xt_geoip_* finns i katalogen /usr/local/libexec/xtables-addons. I denna version av skriptet används en databas IP to Country Lite. Licensen är Creative Commons Attribution License, och de tillgängliga data innehåller just de tre nödvändiga kolumnerna. Ladda ner och samla databasen:

cd /usr/share/xt_geoip/

/usr/local/libexec/xtables-addons/xt_geoip_dl

/usr/local/libexec/xtables-addons/xt_geoip_build

Efter dessa åtgärder är iptables redo för användning.

Använd geoip i iptables

Modul xt_geoip lägger till totalt två nycklar:

geoip matchalternativ:
[!] --src-cc, --source-country country[,country...]
	Matcha paket som kommer från (en av) de angivna länderna
[!] --dst-cc, --destination-country country[,country...]
	Matcha paket som går till (ett av) de angivna länderna

OBS: Landet anges med sin ISO3166-kod.

Sätten att skapa regler för iptables förblir i stort sett oförändrade. För att använda nycklar från ytterligare moduler måste namnet på modulen anges tydligt med nyckeln -m. Till exempel, en regel för att blockera inkommande TCP-anslutningar på port 443 från icke-USA på alla gränssnitt:

iptables -I INPUT ! -i lo -p tcp --dport 443 -m geoip ! --src-cc US -j DROP

Filer skapade av xt_geoip_build används endast vid skapandet av regler, men beaktas inte vid filtrering. Således, för att korrekt uppdatera geoip-databasen, måste iv*-filerna uppdateras först, och sedan måste alla regler som använder geoip i iptables återskapas.

Slutsats

Filtrering av paket beroende på landstillhörighet är en något bortglömd strategi. Trots detta utvecklas programvaruverktygen för sådan filtrering och inom kort kan det komma en ny version av xt_geoip med en ny leverantör av geoip-data i paketförvaltarna, vilket avsevärt skulle underlätta livet för systemadministratörer.

Endast registrerade användare kan delta i omröstningen. Logga in, tack.

Har du någonsin använt filtrering baserat på länder?

• 59,1%Ja13

• 40,9%Nej9

22 användare har röstat. 3 användare har avstått.

Källa: habr.com