Linux运维必备的服务器防护方案,屏蔽恶意ip地址

apt-get install ipset iptables

# 创建存储目录mkdir -p /opt/geoip# 从APNIC官方下载并整理国内IPv4段curl -s https://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest | \grep 'CN\|ipv4' | \awk -F'|' '($2=="CN" && $3=="ipv4") {print $4 "/" (32-log($5)/log(2))}' > /opt/geoip/china-ip.txt

# 创建并清空集合（若已存在）ipset create china hash:net 2>/dev/nullipset flush china# 加载国内IP段到集合，这个需要一点时间，耐心等待完成while read cidr; do [ -n "$cidr" ] && ipset add china "$cidr" done < /opt/geoip/china-ip.txt

# 放行本地回环和已建立连接iptables -A INPUT -i lo -j ACCEPTiptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT# 放行国内IP访问关键端口（我这里是默认的22端口，生产环境当然是按需调整）iptables -A INPUT -p tcp --dport 22 -m set --match-set china src -j ACCEPT# 拒绝所有其他访问（最后执行！）iptables -A INPUT -j DROP

#安装iptables-persistent工具（确保重启后规则自动加载）apt install -y iptables-persistent#保存规则到Debian默认的配置文件iptables-save > /etc/iptables/rules.v4#后续如果修改了规则，保存后执行下面的命令生效netfilter-persistent savenetfilter-persistent reload

vim /opt/geoip/update-china-ip.sh

#!/bin/bashcd /opt/geoip || exit 1curl -s https://ftp.apnic.net/apnic/stats/apnic/delegated-apnic-latest | \grep 'CN|ipv4' | \awk -F'|' '($2=="CN" && $3=="ipv4") {print $4 "/" (32-log($5)/log(2))}' > china-ip-new.txt[ -s china-ip-new.txt ] || { echo "IP列表下载失败"; exit 1; }mv china-ip-new.txt china-ip.txtipset flush chinawhile read cidr; do [ -n "$cidr" ] && ipset add china "$cidr"done < china-ip.txt

chmod +x /opt/geoip/update-china-ip.sh

0 2 * * 0 /opt/geoip/update-china-ip.sh >> /var/log/geoip-update.log 2>&1