Linuxのipsetコマンドで大量IPを効率管理する方法｜iptables・firewalldと連携してDDoS対策も

この記事のポイント

・ipsetはIPアドレス・ネットワークをハッシュセットで管理し、iptablesのルール爆発を防ぐ
・`ipset create`でセット作成後、`ipset add`でIPを追加し、iptablesの`-m set --match-set`で参照する
・firewalldとの連携は`firewall-cmd --ipset`で行い、既存の管理フローを壊さずに導入できる
・再起動後も設定を維持するには`service ipset save`またはsystemdユニットで自動復元する

# dnf install ipset ipset-service

# apt install ipset

# ipset version

ipset v7.11, protocol version: 7

# ipset create blocklist hash:ip

# ipset add blocklist 203.0.113.10
# ipset add blocklist 203.0.113.20
# ipset add blocklist 198.51.100.0/24

# ipset list blocklist

Name: blocklist
Type: hash:ip
Revision: 4
Header: family inet hashsize 1024 maxelem 65536
Size in memory: 312
References: 0
Number of entries: 3
Members:
203.0.113.10
203.0.113.20
198.51.100.0/24

# ipset del blocklist 203.0.113.10
# ipset destroy blocklist

# iptables -I INPUT -m set --match-set blocklist src -j DROP

# iptables -L INPUT -v -n --line-numbers

# firewall-cmd --permanent --new-ipset=blocklist --type=hash:ip
# firewall-cmd --reload

# firewall-cmd --permanent --ipset=blocklist --add-entry=203.0.113.10
# firewall-cmd --permanent --ipset=blocklist --add-entry=198.51.100.0/24
# firewall-cmd --reload

# firewall-cmd --permanent --zone=public --add-rich-rule='rule source ipset=blocklist drop'
# firewall-cmd --reload

# firewall-cmd --ipset=blocklist --get-entries

# systemctl enable --now ipset

# service ipset save
# または
# ipset save > /etc/sysconfig/ipset

# ipset save > /etc/ipset.conf

[Unit]
Description=ipset restore
Before=network-pre.target
Wants=network-pre.target

[Service]
Type=oneshot
ExecStart=/sbin/ipset restore -f /etc/ipset.conf
ExecStop=/sbin/ipset save -f /etc/ipset.conf
RemainAfterExit=yes

[Install]
WantedBy=multi-user.target

# systemctl daemon-reload
# systemctl enable ipset-restore

#!/bin/bash
# SSH不正ログイン元IPをipsetのblocklist(hash:ip)に追加する
# このスクリプトはcronで定期実行する

IPSET_NAME="blocklist"
THRESHOLD=5

# セットが存在しない場合は作成
ipset list ${IPSET_NAME} > /dev/null 2>&1 || ipset create ${IPSET_NAME} hash:ip

# 直近1時間のSSH失敗ログからIPを集計し、THRESHOLD回以上の攻撃元を追加
journalctl -u sshd --since "1 hour ago" --no-pager 2>/dev/null \
  | grep "Failed password" \
  | awk '{print $(NF-3)}' \
  | sort | uniq -c | sort -rn \
  | awk -v threshold=${THRESHOLD} '$1 >= threshold {print $2}' \
  | while read ip; do
      ipset test ${IPSET_NAME} "${ip}" > /dev/null 2>&1 \
        || ipset add ${IPSET_NAME} "${ip}"
    done

0 * * * * /usr/local/sbin/auto-blocklist.sh

# modprobe ip_set
# modprobe ip_set_hash_ip

# dnf update ipset kernel
# reboot

# iptables -D INPUT -m set --match-set blocklist src -j DROP
# ipset destroy blocklist

# ipset create blocklist hash:ip maxelem 1000000

# ipset save > /tmp/ipset-backup.conf
# ipset destroy blocklist
# ipset create blocklist hash:ip maxelem 1000000
# grep -v "^create blocklist" /tmp/ipset-backup.conf | ipset restore