محدودیت جغرافیایی در فایروال؛ تنظیم دقیق و قابل برگشت

در بعضی سیاست‌های دسترسی ممکن است بخواهیم رنج IP یک کشور را محدود کنیم؛ این کار راه‌حل عمومی همهٔ حملات DDoS نیست، برای مثال در زمانی که سرور تحت فشار حمله دی داس است متوجه می شویم ip های این حمله از کشور چین (برای مثال) است، بنابراین در صورت مسدود کردن آی پی آن کشور آنها امکان اتصال به هیچ کدام از پورت ها را نخواهند داشت، در این مقاله قصد داریم تا چگونگی مسدود سازی رنج آی پی کشور در csf را به صورت مرحله به مرحله به شما آموزش دهیم.

برای مسدود کردن رنج IP کشور، ابتدا backend و پشتیبانی نسخهٔ CSF خود را بررسی کنید. در نصب‌های سازگار می‌توان از ipset را روی سرور خود نصب کنید و سپس به کنترل پنل مدیریت سرور مجازی یا سرور اختصاصی خود وارد شوید، اگر دایرکت ادمین روی سرور شما نصب است پس از ورود به admin level سپس در زیر صفحه روی ConfigServer Firewall&Security کلیک کنید، اگر از whm سی پنل استفاده می کنید، در قسمت Plugins روی گزینه ConfigServer Firewall&Security کلیک کنید.

سپس مانند تصویر زیر روی گزینه Firewall Configuration کلیک کنید :

شما در این صفحه گزینه های زیادی مشاهده می کنید، گزینه هایی که شما نیاز دارید تا آن را پیدا کنید LF_IPSET و CC_DENY می باشد در تصویر زیر بنده این گزینه ها را نمایش می دهم :

فقط اگر نسخه و backend شما از ipset پشتیبانی می‌کند، LF_IPSET را مطابق راهنمای همان نسخه فعال کنید.

در داخل CC_DENY باید کد دوحرفی کشوری که قصد دارید رنج آی پی های آن را مسدود کنید را وارد کنید، لیست کد های آی پی کشور ها را برای شما قرار دادیم.

شما می توانید با علامت , چند کشور را در csf مسدود نمایید. سپس فایل را ذخیره کنید و روی دکمه Restart csf کلیک کنید.

پس از نصب IPSET وارد SSH سرور خود شوید و سپس دستور زیر را وارد نمایید :

nano /etc/csf/csf.conf اگر nano روی سرور شما نصب نیست : yum install nano سپس مقدار LF_IPSET را به 1 و کد دو حرفی کشور خاص خود را به CC_DENY وارد نمایید. در nano با Ctrl+O، سپس Enter فایل را ذخیره و با Ctrl+X خارج شوید، برای اعمال تغییرات دستور زیر را وارد کنید تا csf مجدد راه اندازی شود : csf -r

شما می توانید توسط سرویس مدیریت سرور نت آرام درخواست انجام این آموزش بر روی سرور خود را ارسال فرمایید.

امیدواریم این مقاله شما را در مسدود سازی رنج آی پی کمک کرده باشه، اگر نظر، سوال یا مشکلی داشتید حتما برای ما ارسال نمایید

هدف و مسیرهای حساس را مشخص کنید. برای یک حملهٔ مشخص، محدودیت نرخ یا قانون دقیق معمولاً از بستن کشور کامل قابل کنترل‌تر است.

از قابلیت نگهداری‌شده و دیتابیس به‌روز استفاده کنید. مدیریت، مانیتور و سرویس پرداخت باید از شبکه‌های لازم قابل دسترس بمانند.

قبل و بعد، خطای کاربران سالم و درخواست‌های مخرب را پایش کنید. فهرست رنج ده سال قبل را روی سایت فعلی اعمال نکنید.

دستور نصب nano در متن، مربوط به خانوادهٔ قدیمی yum است؛ مدیر بستهٔ سیستم‌عامل پشتیبانی‌شدهٔ خود را به کار ببرید. قبل از فعال کردن قانون، IP مدیریت و شبکهٔ مانیتور را بررسی کنید. geolocation ممکن است IP کاربر سالم را نادرست دسته‌بندی کند و مهاجم هم از کشور دیگر متصل شود. نتیجه را با درخواست‌های واقعی و خطای کاربران بسنجید و برای برداشتن قانون راه برگشت داشته باشید.