Centos 6 iptables, ipset, geoip 연동하기 (patch-o-matric-ng)

geoip 는 해당 국가별로 IP정보를 가지고 있는 일종의 DB이다

iptables과 연동하여 나라별로 설정이 가능하다 

예를 들면 한국만 허용, 미국은 허용, 북한은 차단?, 일본은 차단, 이런식의 설정이 가능하다

ipset 은 아이피들의 집합적인 개념이다

WHITE_IP = (자기집 아이피, 사무실아이피, 친척아이피)

BLACK_IP = (해커아이피, 192.168.0.1, 192.168.10.10)

위와 같이 네임셋 (WHITE_IP, BLACK_IP) 라는 이름으로 지정하여 네임셋에  아이피들을 넣거나 삭제하거나 리스트를 보거나 어떠한 액션을 취할수 있다.

 ex) 아래와 같이 방화벽 설정이 가능하다

iptables -A INPUT -s WHITE_IP -j ACCEPT

iptables -A INPUT -s BLACK_IP -j DROP

 보안적인면으로 봤을때 특별히 보안이 세다 라는 느낌은 아니며 가용성이 뛰어나다 라고 설명될수 있을거 같다.

ipset 4.5 

patch-o-matric-ng 프로젝트는 더 이상 개발되지 않음 
참조 : (http://www.netfilter.org/projects/patch-o-matic/index.html)

프로젝트가 xtables-addons 이란 이름으로 다시 시작한듯 함 
참조 : (http://xtables-addons.sourceforge.net)
다운 : (http://sourceforge.net/projects/xtables-addons/files/Xtables-addons/)

설치 참조 : http://www.howtoforge.com/xtables-addons-on-centos-6-and-iptables-geoip-filtering

설치 참조 : http://blog.pages.kr/210 

yum install openssh-clients gcc iptables-devel make kernel-devel unzip wget perl-CPAN irqbalance ntsysv vim pci*  ncurses* ipvsadm bridge-utils 

./configure && make && make install 

wget http://downloads.sourceforge.net/project/xtables-addons/Xtables-addons/1.38/xtables-addons-1.38.tar.xz

설치전 vim mconfig 열어서 아래와 같이 필요한 모듈만 설치하도록 수정해줌

configure: error: Package requirements (xtables >= 1.4.3) were not met: 에러 발생시는 우선 
yum install iptables-devel* 요걸 먼저 해보고 그래도 안되면 ㅋㅋ
./configure PKG_CONFIG_PATH=/usr/local/lib/pkgconfig ← 요걸로 해보자
              ./configure libxtables_CFLAGS=”-I/usr/src/iptables/include” \libxtables_LIBS=”-L/usr/src/iptables/libs \-Wl,-rpath/usr/src/iptables/libs -lxtables” ← 아님 요거
make && make install 

wget http://search.cpan.org/CPAN/authors/id/H/HM/HMBRAND/Text-CSV_XS-0.83a.tgz

wget http://pkgs.fedoraproject.org/lookaside/pkgs/perl-Text-CSV_XS/Text-CSV_XS-0.83a.tgz/f9e6db6e4221d67658a26484d9214ecc/Text-CSV_XS-0.83a.tgz
tar xvf Text-CSV_XS-0.83a.tgz

perl Makefile.PL && make && make install 

./configure && make && make install 

vim Makefile 아래구문 최대치로 잡아주기

ifndef IP_NF_SET_MAX
IP_NF_SET_MAX=2048

ifndef IP_NF_SET_HASHSIZE

IP_NF_SET_HASHSIZE=1024 

cd xtables-addons-1.38/geoip

Maxmind 에서 GEOIP DB 다운 및 설치 스크립트 실행
./xt_geoip_dl
./xt_geoip_build GeoIPCountryWhois.csv

국가정보 DB를 디폴트 경로에 저장
mkdir -p /usr/share/xt_geoip/
cp -r {BE,LE} /usr/share/xt_geoip/

아래와 같이 명령 날려보고 에러없으면 GEOIP 무사 패치는 완료하듯?

iptables -I INPUT -m geoip –src-cc CN -j DROP 

/etc/sysctl.conf

# Disable netfilter on bridges.
net.bridge.bridge-nf-call-ip6tables = 1
net.bridge.bridge-nf-call-iptables = 1

net.bridge.bridge-nf-call-arptables = 1