Статья Геофильтрация трафика на сервере CentOS через xt_geoip и iptables

[devqp]

Для защиты конечных точек от нежелательного трафика реализуем геофильтрацию на уровне сервера с помощью модуля xt_geoip для iptables. Инструкция для CentOS 7:

1. Установка зависимостей:

yum install gcc gcc-c++ iptables-devel kernel-devel kernel-devel-`uname -r` wget

2. Загрузка и распаковка xtables-addons:

wget -c https://inai.de/files/xtables-addons/xtables-addons-2.14.tar.xz
tar -xvf xtables-addons-2.14.tar.xz

3. Модификация сборки:
В файле extensions/Kbuild закомментируйте строку:

#obj-${build_TARPIT} += xt_TARPIT.o

4. Компиляция и установка:

cd xtables-addons-2.14
./configure
make
make install

5. Активация модуля и загрузка GEO-базы:

modprobe xt_geoip
cd geoip
wget https://files-cdn.liferay.com/mirrors/geolite.maxmind.com/download/geoip/database/GeoIPCountryCSV.zip
unzip GeoIPCountryCSV.zip
./xt_geoip_build GeoIPCountryWhois.csv
mkdir -p /usr/share/xt_geoip/
cp -r {BE,LE} /usr/share/xt_geoip/

Примеры правил iptables:
• Блокировка трафика из Канады и США:

iptables -I INPUT -m geoip --src-cc CA,US -j DROP

• Разрешение веб-трафика только из Канады и США:

iptables -A INPUT -m geoip ! --src-cc CA,US -p tcp -m multiport --dport 80,443 -j DROP