Netfilter/IPtables 的问题
在Linux中，可以很简单地用netfilter/iptables框架禁止IP地址：
$ sudo iptables -A INPUT -s 1.1.1.1-p TCP -j DROP
如果你想要完全屏蔽一个IP地址段，你可以用下面的命令很简单地做到：
$ sudo iptables -A INPUT -s 1.1.2.0/24-p TCP -j DROP
然而，当你有1000个独立IP地址，且不带CIDR（无类别域间路由）前缀，你该怎么做？你要有1000条iptable规则！这显然这并不适于大规模屏蔽。
$ sudo iptables -A INPUT -s 1.1.1.1-p TCP -j DROP
$ sudo iptables -A INPUT -s 2.2.2.2-p TCP -j DROP
$ sudo iptables -A INPUT -s 3.3.3.3-p TCP -j DROP
使用IPset命令禁止IP
让我通过简单的示例告诉你该如何使用ipset命令。
首先，让我们创建一条新的IP集，名为banthis（名字任意）：
$ sudo ipset create banthis hash:net
第二个参数(hash:net)是必须的，代表的是集合的类型。IP集有多个类型。hash:net类型的IP集使用哈希来存储多个CIDR块。如果你想要在一个集合中存储单独的IP地址，你可以使用hash:ip类型。
一旦创建了一个IP集之后，你可以用下面的命令来检查：
$ sudo ipset list
这显示了一个可用的IP集合列表，并有包含了集合成员的详细信息。默认上，每个IP集合可以包含65536个元素（这里是CIDR块）。你可以通过追加"maxelem N"选项来增加限制。
$ sudo ipset create banthis hash:net maxelem 1000000
现在让我们来增加IP块到这个集合中：
$ sudo ipset add banthis 1.1.1.1/32
$ sudo ipset add banthis 1.1.2.0/24
$ sudo ipset add banthis 1.1.3.0/24
$ sudo ipset add banthis 1.1.4.10/24
你会看到集合成员已经改变了。
$ sudo ipset list
现在是时候去创建一个使用IP集的iptables规则了。这里的关键是使用"-m set --match-set "选项。
现在让我们创建一条让之前那些IP块不能通过80端口访问web服务的iptable规则。可以通过下面的命令：
$ sudo iptables -I INPUT -m set--match-set banthis src -p tcp --destination-port 80-j DROP
如果你愿意，你可以保存特定的IP集到一个文件中，以后可以从文件中还原：
$ sudo ipset save banthis -f banthis.txt
$ sudo ipset destroy banthis
$ sudo ipset restore -f banthis.txt
上面的命令中，我使用了destory选项来删除一个已有的IP集来看看我是否可以还原它。
决定使用ARP绑定后，接下来就要考虑ARP的实现方法。ARP（Address Resolution Protocol）协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。如果所有非法用户都被赋予了错误的MAC地址，那么他们是无法通 过这台服务器上网的。因此，ARP绑定要求必须将所有可能的IP地址全部与MAC地址绑定，才能够杜绝非法用户（当然，用户修改MAC地址除外）。经过一番思索，确定了初步的构思。首先，用Linux Shell的循环方法生成一张包含从10.0.0.1到10.0.3.254的无效MAC地址匹配表，称之为全局表。然后根据DHCP服务器的数据得到一 张合法用户的IP和MAC地址表，称之为合法表。接着，读取合法表中每个用户的IP，并在全局表中寻找匹配的IP，如果找到的话就用合法用户的MAC地址 替换原来无效的MAC地址。最后，这张全局表中的合法用户匹配正确MAC地址，而非法用户匹配无效的MAC地址。只要用户把这张表写入系统ARP缓存，非 法用户就不能通过简单的盗取IP方法来通过网关了。
实现
首先生成一张初始的全局表。它包含所有IP地址，每个IP地址与一个非法的MAC地址匹配。它的格式必须是arp命令能够识别的。初始化全局表的脚本为init，内容如下：
#!/bin/bash
ipprefix=10.0.
count1=0
while (( $count1 <4 ))
do
count2=1
while (( $count2 <255 ))
do
echo“$ipprefix$count1.$count2 00e000000001”
let $count2+=1
done
let $count1+=1
done
写好后存档，用“chmod +x init”命令使得脚本可执行。然后运行脚本init >arp，就可以将结果保存到当前目录的arp文件中。该文件就是10.0.0.1到10.0.3.254所有IP地址与MAC地址 00e000000001绑定的ARP表，看上去该文件类似于下面这样：
10.0.0.1 00e000000001
10.0.0.2 00e000000001
10.0.0.3 00e000000001
10.0.0.4 00e000000001
10.0.0.5 00e000000001
... ...
需要注意的是，Shell脚本语法虽然和C语言类似，但对格式要求很严格，有些地方不能加空格，有些地方则必须加空格。比如let $count1+=1就不能写成let $count1 += 1；相反，while (( $count1 <4 )) 也不能写成while (($count1<4))，括号与语句之间必需有空格。
接下来通过DHCP服务器得到合法用户的IP与MAC地址匹配表（即合法用户表），假设是valid.arp文件。编写一个脚本一行一行地读取该表，每得 到一个IP地址记录，就在前面生成的arp文件中查找同样的IP。如果找到的话，那么就用valid.arp中该IP的MAC地址替换arp文件中该IP 的MAC地址。 valid.arp文件可能像下面这样：
10.0.0.2 00e00a0f1d2c
...
10.0.1.25 00e0b2c3d5c1
...
查找替换脚本为replace，内容如下：
#!/bin/bash
# 定义并初始化三个变量，分别是合法用户表、全局表和作交换用的表
validArp=valid.arp
globalArp=arp
tmpArp=tmp.arp
count=1
# 371是合法用户的总数，也就是valid.arp表的记录数，然后加1
while (( count <371 ))
do
#“ sed -n‘“$count”p’$validArp”命令将每次打印valid.arp文件中的第$count个记录
# 例如，当$count=1的时候，该命令将打印: 10.0.0.2 00e00a0f1d2c2
# eval $getValid将会执行$getValid变量所包含的语句，并将结果赋给变量$curRec
getValid=“sed -n‘“$count”p’$validArp”
curRec=‘eval $getValid’
# echo $curRec awk‘{print $1}’命令将打印$curRec内容的第一个字段，也就是IP地址
# 然后我们将这个IP地址赋值给$curIP变量
getIP=“echo $curRec awk‘{print \$1}’”
curIP=‘eval $getIP’
# 这样我们就得到了合法用户的IP及IP和MAC地址对，接下来是最关键的一步
# 下面两条语句在全局表中查找与得到的IP匹配的项目，找到后就在该记录后面添加合法用户的IP
和MAC地址对，然后删除旧的非法IP和MAC地址对，并将结果存入一个新的文件tmp.arp
replace=“sed -e‘/$curIP\>/a\ $curRec’ -e‘/$curIP\>/d’$globalArp >$tmpArp”
eval $replace然后用新的文件覆盖全局表文件，并将计数器加1，供下次循环
cp -f $tmpArp $globalArp
let count+=1
done
到此脚本结束。需要注意的地方有两个：第一，所有包含“eval”命令的语句，使用的都是反引号，也就是通常位于Tab键上面的那个引号，这样变量才能得 到语句执行的结果，而非语句本身；第二，如果出现变量和其它字母在一起的情况，用双引号将变量包含，否则会出现错误的变量名，例如下面这条语句：
getValid=“sed -n‘“$count”p’$validArp”
如果不用双引号把变量$count包起来，Shell会认为用户的变量是$countp，而不是$count。
在执行完replace后，再查看arp文件，会发现其中所有在valid.arp文件中存在的IP和MAC地址对，其中的初始化MAC地址已被替换为正确的MAC地址。
最后，将得到的arp文件拷贝为/etc/ethers，在系统启动时运行“arp -f”，就可以实现IP和MAC地址匹配了。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）