안녕하세요.
열심히 셋팅해놓은 서버가 커널이 가버리는 바람에 재설치하고 또 다시 삽질중입니다.
ssh 포트는 일단 변경하였고요.
iptables 에 중국ip자체를 밴시켜버렸습니다.
근데 리부팅이후에는 이것이 초기화 되내요.
사용중인 서버버전은 ubuntu server 16.04.3 입니다.
스크립트는 아래 처럼 작성해 놓았습니다. (해당 쉘스크립트 파일과 csv파일은 동일한 폴더내에 존재합니다. /root/ )
#!/bin/sh
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/sbin/iptables -A INPUT -p all -m iprange --src-range $BANIP -j DROP
done
그리고 해당 쉘스크립트 파일을 rc.local에 등록하였는데 아무리 해도 자동실행이 되질 않습니다.
초기값은 exit 0 이 적혀있었고요 이 부분을 주석처리도 해보고, 남겨도 해보고
검색을 통해 이런식 저런식 막 시도를 해봤는데요 여전히 작동하질 않습니다.
시도한 방법들은
1)
sh /root/ipban.sh
2)
su root -c "/root/ipban.sh &"
3)
/root/ipban.sh
등입니다.
물론 해당 쉘스크립트파일은 chmod +x 로 실행권환을 주었고요.
수동으로 해당 파일을 실행하면 정상적으로 등록이 됩니다.
매번 서버 리부팅마다 해당작업을 하기는 힘들고 꼭 등록을 하고 싶은데 힘드내요ㅠㅠ
현재 런레벨은 5입니다.
어떤식으로 등록을 해야 제대로 작동을 할까요 조언 부탁드립니다.
한번 찾아서 살펴봐야겠습니다.
그리고 systemctl enable rc-local 그리고 systemctl start rc-local 로 실행후 systemctl status rc-local 로 정상 실행여부를 확인하시면 됩니다.
이것도 해봤던 방법인데... 안되더라고요 ㅠㅠ;;
좀있다 다시 한번 시도해봐야겠습니다.
status 상태는 아래와 같습니다.
● rc-local.service - /etc/rc.local Compatibility
Loaded: loaded (/lib/systemd/system/rc-local.service; static; vendor preset:
Drop-In: /lib/systemd/system/rc-local.service.d
└─debian.conf
Active: active (exited) since Fri 2017-12-22 22:13:14 KST; 14min ago
Process: 1180 ExecStart=/etc/rc.local start (code=exited, status=0/SUCCESS)
Tasks: 0
Memory: 0B
CPU: 0
#!/bin/sh
# 쉘 스크립트는 root권한으로 최초 1회만 실행
apt-get -y install iptables-persistent
systemctl start iptables-persistent.service
systemctl enable iptables-persistent.service
/usr/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144
#/usr/sbin/ipset create banip hash:net src # 네트워크 주소 표시가 프리픽스인 경우 hash:net 사용 ex) 192.168.0.0/24
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/usr/sbin/ipset add banip $BANIP
done
ipset save > /root/ipset_balcklist.txt
/sbin/iptables -A INPUT -m set --match-set banip src -j DROP
"cat /root/ipset_blacklist.txt | ipset restore &" >> /etc/rc.d/rc.local
/sbin/iptables-save > /etc/iptables/rules.v4
chmod +x /etc/rc.local
systemctl enable rc-local.service
공부해서 이해해보도록 하겠습니다. 좋은 정보 감사합니다.!
위에 패키지들 설치하고
#/usr/sbin/ipset create banip hash:net src # 네트워크 주소 표시가 프리픽스인 경우 hash:net 사용 ex) 192.168.0.0/24
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/usr/sbin/ipset add banip $BANIP
done
ipset save > /root/ipset_balcklist.txt
/sbin/iptables -A INPUT -m set --match-set banip src -j DROP
"cat /root/ipset_blacklist.txt | ipset restore &" >> /etc/rc.d/rc.local
/sbin/iptables-save > /etc/iptables/rules.v4
이부분을 shell로 만들어 놓고, rc.local 해당 쉘 실행되게 하고
아래 2줄을 실행하라는 말씀이시죠?
그런데 일단 rc.local 서비스가 등록이 되어야 진행되는거라 그 부분을 좀 더 확인을해보셔야될거같네여
server로 설치 후 확인해보았을때 rc-local의 경우 실행권한이나 systemd 에 등록된 상태는 문제없어보입니다.
apt-get -y install iptables-persistent 또한 iptables을 부팅 시 자동로드시키기 위해 적용하였으나 로드가 되지않아 굳이 설치할 필요가 없어보입니다.
확인을 위해 간단하게 rc.local에 echo 123 > /root/file.txt 와 같이 명렁어를 삽입 후 파일 및 파일의 내용이 생성되는지 확인해보시면 될 것같습니다.
그럼에도 불구하고 rc.local이 적용되지 아니한다면 배포판을 변경하시거나 다른계열 사용을 권해드립니다.
우분투는 버전마다 패키지 명을 갑자기 바꿔버린다거나 경로 변경 등이 있어서 개인적으로는 불편한거같습니다.
---------------------------------------------------------------------------------------------------------------------
1. ipset 패키지가 없으므로 ipset 패키지 설치필요
root@ubuntu:~# apt-get -y install ipset
2. ipset을 통해서 해시테이블 생성
/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144
3. 반복문 검증 확인
SRC=./GeoIPCountryWhois.csv
for BANIP in `egrep "China" $SRC | cut -d, -f1,2 | sed -e 's/"//g' | sed -e 's/,/-/g'`
do
/sbin/ipset add banip $BANIP
done
해당 반복문 실행 후 ipset list를 통하여 해시테이블 내 목록이 생성 되었는지 확인
root@ubuntu:~# ipset list
Name: banip
Type: hash:ip
Revision: 4
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 368
References: 1
Members:
192.168.1.3
192.168.1.5
192.168.1.1
192.168.1.4
192.168.1.2
와 같은 형식으로 리스트가 생성됩니다.
5. 부팅 시 ipset 리스트가 로드될 수 있도록 파일 생성
ipset save > /root/ipset_blacklist.txt
6. iptables 적용 및 추가
iptables -A INPUT -m set --match-set banip src -j DROP
iptables-save > /etc/iptables/rules.v4
4. /etc/rc.local에 아래 내용 추가
/sbin/ipset create banip hash:ip src hashsize 4096 maxelem 262144
cat /root/ipset_blacklist.txt | ipset restore &
/sbin/iptables-restore < /etc/iptables/rules.v4
5. shutdown -r now
ipset list 를 통해서 리스트가 복원되었는지 확인
iptables -nL을 통해서 iptables 명령어가 복원되었는지확인
당시에 안되서 ㅠㅠ 한 참 헤메다가 데비안으로 와서 정신없이 셋팅했습니다.
좋은 정보들과 설치까지하셔서 좋은 정보 알려주신 점 감사합니다.
위에 좋은 정보들 잘 활용해서 사용하겠습니다.
감사합니다__)