ipset是什么？

ipset是iptables的擴(kuò)展,它允許你創(chuàng)建 匹配整個(gè)地址集合的規(guī)則。而不像普通的iptables鏈只能單IP匹配, ip集合存儲(chǔ)在帶索引的數(shù)據(jù)結(jié)構(gòu)中,這種結(jié)構(gòu)即時(shí)集合比較大也可以進(jìn)行高效的查找，除了一些常用的情況,比如阻止一些危險(xiǎn)主機(jī)訪問(wèn)本機(jī)，從而減少系統(tǒng)資源占用或網(wǎng)絡(luò)擁塞,IPsets也具備一些新防火墻設(shè)計(jì)方法,并簡(jiǎn)化了配置.官網(wǎng)：http://ipset.netfilter.org/

1、ipset安裝

yum安裝： yum install ipset

源代碼安裝：進(jìn)官網(wǎng)下載ipset-6.30.tar.bz2?，

yum -y install libmnl-devel libmnl

tar -jxvf?ipset-6.30.tar.bz2? && cd ipset-6.30 && ./configure --prefix=/usr/local/ipset && make && make install ? 完成安裝

2、創(chuàng)建一個(gè)ipset ipset create allset hash:net （也可以是hash:ip ，這指的是單個(gè)ip） 2.1、查看已創(chuàng)建的ipset 2.2、ipset默認(rèn)可以存儲(chǔ)65536個(gè)元素，使用maxelem指定數(shù)量 ipset create openapi hash:net maxelem 1000000 ipset list 3、加入一個(gè)黑名單ip ipset add allset?145.201.56.109 4、創(chuàng)建防火墻規(guī)則，與此同時(shí)，allset這個(gè)IP集里的ip都無(wú)法訪問(wèn)80端口（如：CC攻擊可用） iptables -I INPUT -m set --match-set allset?src -p tcp --destination-port 80 -j DROP service iptables save 5、去除黑名單，與此同時(shí)，又可以訪問(wèn)了 ipset del allset?145.201.56.109 6、將ipset規(guī)則保存到文件 ipset save allset?-f allset.txt 7、刪除ipset ipset destroy?allset 8、導(dǎo)入ipset規(guī)則 ipset restore -f allset.txt ? 注意： 1、ipset的一個(gè)優(yōu)勢(shì)是集合可以動(dòng)態(tài)的修改，即使ipset的iptables規(guī)則目前已經(jīng)啟動(dòng)，新加的入ipset的ip也生效

實(shí)例解釋：

例：某服務(wù)器被CC攻擊，經(jīng)過(guò)抓包或者一序列手段發(fā)現(xiàn)有一批IP是源攻擊ip，因此我們需要封掉這些IP，如果用iptables一條一條加就麻煩些了。 #對(duì)TIME_WAIT的外部ip以及此對(duì)ip出現(xiàn)的次數(shù)經(jīng)行求重排序。 netstat -ptan | grep TIME_WAIT | awk '{print $5}' | awk -F: '{print $1}' |sort |uniq -c | sort -n -r #tcpdump 抓取100個(gè)包，訪問(wèn)本機(jī)80的ip進(jìn)行求重排序 ?只顯示前20個(gè)，數(shù)量多的ip可能為攻擊源IP，我們需要封掉它 tcpdump -tnn dst port 80 -c 100 | awk -F"." '{print $1"."$2"."$3"."$4}' | sort | uniq -c | sort -n -r |head -20 #新建一個(gè)setname.txt文件，以如下格式加入這些ip （有多少個(gè)ip就多少行） vim setname.txt add setname xxx.xxx.xxx.xxx #導(dǎo)入setname.txt文件到ipset集 ipset restore -f?setname.txt #查看是否導(dǎo)入成功 （成功的話會(huì)發(fā)現(xiàn)一個(gè)新ipset名為 sername，且Members里就是那些攻擊IP） ipset list #建立一條iptables規(guī)則，攔截這些攻擊ip訪問(wèn)服務(wù)器80，也可以直接禁止這些ip的所有訪問(wèn) iptables -I INPUT -m set --match-set setname?src -p tcp --destination-port 80 -j DROP

轉(zhuǎn)載于:https://www.cnblogs.com/harlanzhang/p/6190674.html

總結(jié)

以上是生活随笔為你收集整理的iptables一次性封多个ip，使用ipset 工具的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。