yee223 2017-12

*비밀글입니다

조형 2017-12

정보 감사합니다.
한번 찾아서 살펴봐야겠습니다.

꿀벌l최인혁 2017-12

ls -al /etc/rc.local 하셔서 실행권한이 있는지 확인후 없으면 chmod +x /etc/rc.local
그리고 systemctl enable rc-local 그리고 systemctl start rc-local 로 실행후 systemctl  status rc-local 로 정상 실행여부를 확인하시면 됩니다.

조형 2017-12

정보 감사합니다.

이것도 해봤던 방법인데... 안되더라고요 ㅠㅠ;;
좀있다 다시 한번 시도해봐야겠습니다.

status 상태는 아래와 같습니다.

● rc-local.service - /etc/rc.local Compatibility
  Loaded: loaded (/lib/systemd/system/rc-local.service; static; vendor preset:
  Drop-In: /lib/systemd/system/rc-local.service.d
          └─debian.conf
  Active: active (exited) since Fri 2017-12-22 22:13:14 KST; 14min ago
  Process: 1180 ExecStart=/etc/rc.local start (code=exited, status=0/SUCCESS)
    Tasks: 0
  Memory: 0B
      CPU: 0

아미노펜 2017-12

GeoIP 예시로 나와있는 반복문과 같이 실제 iptables에서 ip주소만 기준으로 필터링할 때 5천개 정도의 규칙 까지는 선형적인 성능감소가 나타납니다. 이러한 경우 허용하고자 하는 트래픽의 rate 감소로 이어지기 때문에 아래와 같은 방법을 추천해드립니다.


#!/bin/sh 
# 쉘 스크립트는 root권한으로 최초 1회만 실행
apt-get -y install iptables-persistent
systemctl start iptables-persistent.service
systemctl enable iptables-persistent.service
/usr/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144
#/usr/sbin/ipset create banip hash:net src # 네트워크 주소 표시가 프리픽스인 경우 hash:net 사용 ex) 192.168.0.0/24
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/usr/sbin/ipset add banip $BANIP
done
ipset save > /root/ipset_balcklist.txt
/sbin/iptables -A INPUT -m set --match-set banip src -j DROP
"cat /root/ipset_blacklist.txt | ipset restore &" >> /etc/rc.d/rc.local
/sbin/iptables-save > /etc/iptables/rules.v4
chmod +x /etc/rc.local
systemctl enable rc-local.service

조형 2017-12

무언가 전문적인 답변이!!

공부해서 이해해보도록 하겠습니다. 좋은 정보 감사합니다.!

위에 패키지들 설치하고

#/usr/sbin/ipset create banip hash:net src # 네트워크 주소 표시가 프리픽스인 경우 hash:net 사용 ex) 192.168.0.0/24
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/usr/sbin/ipset add banip $BANIP
done
ipset save > /root/ipset_balcklist.txt
/sbin/iptables -A INPUT -m set --match-set banip src -j DROP
"cat /root/ipset_blacklist.txt | ipset restore &" >> /etc/rc.d/rc.local
/sbin/iptables-save > /etc/iptables/rules.v4

이부분을 shell로 만들어 놓고, rc.local 해당 쉘 실행되게 하고
아래 2줄을 실행하라는 말씀이시죠?

아미노펜 2017-12

#!/bin/sh 부터 systemctl enable rc-local.service 까지 전부 복사해서 vi로 파일생성하셔서 붙여넣기 하시고 실행하시면 되세여
그런데 일단 rc.local 서비스가 등록이 되어야 진행되는거라 그 부분을 좀 더 확인을해보셔야될거같네여

아미노펜 2017-12

경로등이 다르다 보니 16.04.3 server 미니멀로 설치후 확인해보고 다시 덧글 드립니다.

server로 설치 후 확인해보았을때 rc-local의 경우 실행권한이나 systemd 에 등록된 상태는 문제없어보입니다.
apt-get -y install iptables-persistent 또한 iptables을 부팅 시 자동로드시키기 위해 적용하였으나 로드가 되지않아 굳이 설치할 필요가 없어보입니다.
확인을 위해 간단하게 rc.local에 echo 123 > /root/file.txt 와 같이 명렁어를 삽입 후 파일 및 파일의 내용이 생성되는지 확인해보시면 될 것같습니다.
그럼에도 불구하고 rc.local이 적용되지 아니한다면 배포판을 변경하시거나 다른계열 사용을 권해드립니다.
우분투는 버전마다 패키지 명을 갑자기 바꿔버린다거나  경로 변경 등이 있어서 개인적으로는 불편한거같습니다.
---------------------------------------------------------------------------------------------------------------------
1. ipset 패키지가 없으므로 ipset 패키지 설치필요
root@ubuntu:~# apt-get -y install ipset

2. ipset을 통해서 해시테이블 생성
/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144

3. 반복문 검증 확인
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/sbin/ipset add banip $BANIP
done

해당 반복문 실행 후 ipset list를 통하여 해시테이블 내 목록이 생성 되었는지 확인

root@ubuntu:~# ipset list
Name: banip
Type: hash:ip
Revision: 4
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 368
References: 1
Members:
192.168.1.3
192.168.1.5
192.168.1.1
192.168.1.4
192.168.1.2
와 같은 형식으로 리스트가 생성됩니다.

5. 부팅 시 ipset 리스트가 로드될 수 있도록 파일 생성
ipset save > /root/ipset_blacklist.txt

6. iptables 적용 및 추가
iptables -A INPUT -m set --match-set banip src -j DROP
iptables-save > /etc/iptables/rules.v4


4. /etc/rc.local에 아래 내용 추가

/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144
cat /root/ipset_blacklist.txt | ipset restore &
/sbin/iptables-restore < /etc/iptables/rules.v4

5. shutdown -r now
ipset list 를 통해서 리스트가 복원되었는지 확인
iptables -nL을 통해서 iptables 명령어가 복원되었는지확인

조형 2017-12

이 댓글을 뒤늦게 확인했내요.
당시에 안되서 ㅠㅠ 한 참 헤메다가 데비안으로 와서 정신없이 셋팅했습니다.

좋은 정보들과 설치까지하셔서 좋은 정보 알려주신 점 감사합니다.

위에 좋은 정보들 잘 활용해서 사용하겠습니다.

감사합니다__)