rc.local 부팅시 자동실행 시킬 쉘스크립트 등록문제

조형   
   조회 9554   추천 1    

 안녕하세요.

열심히 셋팅해놓은 서버가 커널이 가버리는 바람에 재설치하고 또 다시 삽질중입니다.

ssh 포트는 일단 변경하였고요.

iptables 에 중국ip자체를 밴시켜버렸습니다.

근데 리부팅이후에는 이것이 초기화 되내요.

사용중인 서버버전은 ubuntu server 16.04.3 입니다.


스크립트는 아래 처럼 작성해 놓았습니다. (해당 쉘스크립트 파일과 csv파일은 동일한 폴더내에 존재합니다. /root/ )

#!/bin/sh

SRC=./GeoIPCountryWhois.csv

for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/sbin/iptables -A INPUT -p all -m iprange --src-range $BANIP -j DROP
done


그리고 해당 쉘스크립트 파일을 rc.local에 등록하였는데 아무리 해도 자동실행이 되질 않습니다.

초기값은 exit 0 이 적혀있었고요 이 부분을 주석처리도 해보고, 남겨도 해보고


검색을 통해 이런식 저런식 막 시도를 해봤는데요 여전히 작동하질 않습니다.

시도한 방법들은

1)

sh /root/ipban.sh

2)

su root -c "/root/ipban.sh &"

3)

/root/ipban.sh

등입니다.


물론 해당 쉘스크립트파일은 chmod +x 로 실행권환을 주었고요.

수동으로 해당 파일을 실행하면 정상적으로 등록이 됩니다.

매번 서버 리부팅마다 해당작업을 하기는 힘들고 꼭 등록을 하고 싶은데 힘드내요ㅠㅠ

현재 런레벨은 5입니다.


어떤식으로 등록을 해야 제대로 작동을 할까요 조언 부탁드립니다.
짧은글 일수록 신중하게.
yee223 2017-12
*비밀글입니다
     
조형 2017-12
정보 감사합니다.
한번 찾아서 살펴봐야겠습니다.
ls -al /etc/rc.local 하셔서 실행권한이 있는지 확인후 없으면 chmod +x /etc/rc.local
그리고 systemctl enable rc-local 그리고 systemctl start rc-local 로 실행후 systemctl  status rc-local 로 정상 실행여부를 확인하시면 됩니다.
     
조형 2017-12
정보 감사합니다.

이것도 해봤던 방법인데... 안되더라고요 ㅠㅠ;;
좀있다 다시 한번 시도해봐야겠습니다.

status 상태는 아래와 같습니다.

● rc-local.service - /etc/rc.local Compatibility
  Loaded: loaded (/lib/systemd/system/rc-local.service; static; vendor preset:
  Drop-In: /lib/systemd/system/rc-local.service.d
          └─debian.conf
  Active: active (exited) since Fri 2017-12-22 22:13:14 KST; 14min ago
  Process: 1180 ExecStart=/etc/rc.local start (code=exited, status=0/SUCCESS)
    Tasks: 0
  Memory: 0B
      CPU: 0
아미노펜 2017-12
GeoIP 예시로 나와있는 반복문과 같이 실제 iptables에서 ip주소만 기준으로 필터링할 때 5천개 정도의 규칙 까지는 선형적인 성능감소가 나타납니다. 이러한 경우 허용하고자 하는 트래픽의 rate 감소로 이어지기 때문에 아래와 같은 방법을 추천해드립니다.


#!/bin/sh 
# 쉘 스크립트는 root권한으로 최초 1회만 실행
apt-get -y install iptables-persistent
systemctl start iptables-persistent.service
systemctl enable iptables-persistent.service
/usr/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144
#/usr/sbin/ipset create banip hash:net src # 네트워크 주소 표시가 프리픽스인 경우 hash:net 사용 ex) 192.168.0.0/24
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/usr/sbin/ipset add banip $BANIP
done
ipset save > /root/ipset_balcklist.txt
/sbin/iptables -A INPUT -m set --match-set banip src -j DROP
"cat /root/ipset_blacklist.txt | ipset restore &" >> /etc/rc.d/rc.local
/sbin/iptables-save > /etc/iptables/rules.v4
chmod +x /etc/rc.local
systemctl enable rc-local.service
     
조형 2017-12
무언가 전문적인 답변이!!

공부해서 이해해보도록 하겠습니다. 좋은 정보 감사합니다.!

위에 패키지들 설치하고

#/usr/sbin/ipset create banip hash:net src # 네트워크 주소 표시가 프리픽스인 경우 hash:net 사용 ex) 192.168.0.0/24
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/usr/sbin/ipset add banip $BANIP
done
ipset save > /root/ipset_balcklist.txt
/sbin/iptables -A INPUT -m set --match-set banip src -j DROP
"cat /root/ipset_blacklist.txt | ipset restore &" >> /etc/rc.d/rc.local
/sbin/iptables-save > /etc/iptables/rules.v4

이부분을 shell로 만들어 놓고, rc.local 해당 쉘 실행되게 하고
아래 2줄을 실행하라는 말씀이시죠?
          
아미노펜 2017-12
#!/bin/sh 부터 systemctl enable rc-local.service 까지 전부 복사해서 vi로 파일생성하셔서 붙여넣기 하시고 실행하시면 되세여
그런데 일단 rc.local 서비스가 등록이 되어야 진행되는거라 그 부분을 좀 더 확인을해보셔야될거같네여
아미노펜 2017-12
경로등이 다르다 보니 16.04.3 server 미니멀로 설치후 확인해보고 다시 덧글 드립니다.

server로 설치 후 확인해보았을때 rc-local의 경우 실행권한이나 systemd 에 등록된 상태는 문제없어보입니다.
apt-get -y install iptables-persistent 또한 iptables을 부팅 시 자동로드시키기 위해 적용하였으나 로드가 되지않아 굳이 설치할 필요가 없어보입니다.
확인을 위해 간단하게 rc.local에 echo 123 > /root/file.txt 와 같이 명렁어를 삽입 후 파일 및 파일의 내용이 생성되는지 확인해보시면 될 것같습니다.
그럼에도 불구하고 rc.local이 적용되지 아니한다면 배포판을 변경하시거나 다른계열 사용을 권해드립니다.
우분투는 버전마다 패키지 명을 갑자기 바꿔버린다거나  경로 변경 등이 있어서 개인적으로는 불편한거같습니다.
---------------------------------------------------------------------------------------------------------------------
1. ipset 패키지가 없으므로 ipset 패키지 설치필요
root@ubuntu:~# apt-get -y install ipset

2. ipset을 통해서 해시테이블 생성
/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144

3. 반복문 검증 확인
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/sbin/ipset add banip $BANIP
done

해당 반복문 실행 후 ipset list를 통하여 해시테이블 내 목록이 생성 되었는지 확인

root@ubuntu:~# ipset list
Name: banip
Type: hash:ip
Revision: 4
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 368
References: 1
Members:
192.168.1.3
192.168.1.5
192.168.1.1
192.168.1.4
192.168.1.2
와 같은 형식으로 리스트가 생성됩니다.

5. 부팅 시 ipset 리스트가 로드될 수 있도록 파일 생성
ipset save > /root/ipset_blacklist.txt

6. iptables 적용 및 추가
iptables -A INPUT -m set --match-set banip src -j DROP
iptables-save > /etc/iptables/rules.v4


4. /etc/rc.local에 아래 내용 추가

/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144
cat /root/ipset_blacklist.txt | ipset restore &
/sbin/iptables-restore < /etc/iptables/rules.v4

5. shutdown -r now
ipset list 를 통해서 리스트가 복원되었는지 확인
iptables -nL을 통해서 iptables 명령어가 복원되었는지확인
     
조형 2017-12
이 댓글을 뒤늦게 확인했내요.
당시에 안되서 ㅠㅠ 한 참 헤메다가 데비안으로 와서 정신없이 셋팅했습니다.

좋은 정보들과 설치까지하셔서 좋은 정보 알려주신 점 감사합니다.

위에 좋은 정보들 잘 활용해서 사용하겠습니다.

감사합니다__)
로그인 하시면 댓글을 남길 수 있습니다


QnA
쓰기
제목Page 1651/5600
2014-05   4518450   1 정은준1
2015-12   1069605   1  백메가
2017-12   7901   1 두cpu
2017-12   3442   1 김건우
2017-12   14403   1 으라차차차
2017-12   4583   1 dreamer74
2017-12   3454   1 김훈1
2017-12   4802   1 수필처럼
2017-12   6171   1 조형
2017-12   7170   1 으라차차차
2017-12   4055   1 김건우
2017-12   3709   1  유령E정해준
2017-12   4708   1 조형
2017-12   4925   1 나우마크
2017-12   3591   1  삐돌이슬픔이
2017-12   3590   1 이상윤SY
2017-12   4110   1 일론머스크
2017-12   3688   1 송현우
2017-12   4003   1 e5472
2017-12   4445   1 욕심쟁e
2017-12   3165   1 하셀호프
2017-12   4049   1 refreshair
목록
쓰기