Iptables ipset 使用经验

iptables 加上 ipset，对大批量地屏蔽恶意 ip，非常有用。ipset 负责建立一个 ip 集合，比如白名单集合、黑名单集合；iptables 规则负责对该集合做放行或封禁处理。

总框架

前提是先安装好用到的软件：apt install ipset iptables netfilter-persistent ipset-persistent iptables-persistent

1. 临时
   1. ipset create：创建一个名单，如 mw_white
   2. ipset add：往名单里加 IP
   3. iptables -C：检查规则是否已存在
   4. iptables -I：改内存里的防火墙规则
2. 持久化
   1. ipset save > /etc/iptables/ipsets：把名单名字、成员持久化
   2. iptables-save > /etc/iptables/rules.v4：把防火墙规则持久化
3. 开机重生
   1. systemctl enable netfilter-persistent：让开机时自动读取上述文件并恢复

白名单

ipset create mw_white hash:ip family inet hashsize 4096 maxelem 131072 -exist
iptables -C INPUT -m set --match-set mw_white src -j ACCEPT 2>/dev/null || iptables -I INPUT 1 -m set --match-set mw_white src -j ACCEPT

黑名单 IP

ipset create mw_ban hash:ip family inet hashsize 4096 maxelem 131072 timeout 86400 -exist
iptables -C INPUT -m set --match-set mw_ban src -j DROP 2>/dev/null || iptables -I INPUT 2 -m set --match-set mw_ban src -j DROP

黑名单 网段

ipset create mw_ban_net hash:net family inet hashsize 4096 maxelem 131072 timeout 86400 -exist
iptables -C INPUT -m set --match-set mw_ban_net src -j DROP 2>/dev/null || iptables -I INPUT 3 -m set --match-set mw_ban_net src -j DROP
ipset add mw_ban_net 1.2.3.0/24 timeout 86400 -exist

常规操作

日常操作，改第三列的集合名字和具体 IP 即可。

ipset list mw_white
ipset test mw_white 1.2.3.4 # 改动前先把自己 IP 加入白名单
ipset add mw_white 1.2.3.4 -exist
ipset del mw_white 1.2.3.4

持久化

ipset save > /etc/iptables/ipsets
iptables-save > /etc/iptables/rules.v4

开机重生

systemctl enable netfilter-persistent。

未来巡查

systemctl status netfilter-persistent
systemctl is-enabled netfilter-persistent # 问下有没有开机自启
iptables -L INPUT -n --line-numbers | head -30

ls -l /etc/iptables/ipsets
ls -l /etc/iptables/rules.v4
ls -l /usr/lib/systemd/system/netfilter-persistent.service
ls -l /usr/share/netfilter-persistent/plugins.d/

一个运维心法：内存状态、文件状态、开机恢复状态，三者必须对齐。

任何命令、结果，都不是孤立的，一定有实体存在于某处。