CentOS Linux 防火牆 firewalld 阻擋惡意攻擊來源 IP 位址設定教學與範例

介紹如何在 CentOS Linux 中判斷惡意攻擊來源 IP 位址，並設定防火牆阻擋網路攻擊封包。

判斷惡意攻擊來源 IP 位址

若要找出目前正在攻擊系統的來源 IP 位址，最簡單的方式就是以 netstat 查看目前的網路連線。

直接查看與網頁伺服器建立連線的 IPv4 位址以及對應的連線數：

# 列出與網頁伺服器建立連線的 IPv4 與連線數
sudo netstat -ntp4 | grep nginx | grep ESTABLISHED |\
  awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

      1 61.222.86.175
      1 61.92.74.245
      1 64.233.173.32
      1 64.233.173.39
      1 66.249.68.74
      1 66.249.68.78
      1 66.249.79.170
      2 114.38.179.83
      2 123.192.110.155
      2 125.59.80.216
      9 110.43.54.236

正常來說每個 IP 位址與網頁伺服器的連線數都不會超過 2，如果一個 IP 位址長時間都佔用 3 條以上的連線，就非常可疑。以這個例子來說，110.43.54.236 這一個 IP 位址就佔用了 9 條連線，如果持續幾分鐘都是這樣，就可以視為攻擊行為了。

列出 SYN_RECV 狀態的連線：

# 列出 SYN_RECV 狀態的連線
sudo netstat -ntp | grep SYN_RECV | sort -u

通常這種連線都在 5 條以下，出現太多的話就表示可能有問題。

找出有嫌疑的 IP 位址之後，再去檢查網頁伺服器或相關服務的 log 記錄檔，看看是不是有惡意攻擊行為，若發現確實是網路攻擊，則可用防火牆阻擋掉該 IP 的所有封包。

阻擋特定來源 IP 位址

決定要阻擋的來源 IP 位址之後，就可以使用 firewall-cmd 指令搭配 --add-rich-rule 參數，新增一條防火牆規則，將來自於指定 IP 位址的所有流量擋掉：

# 惡意攻擊來源 IP 位址
IP_ADDR="110.43.54.236"

# 阻擋特定來源 IP 位址
sudo firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='${IP_ADDR}' reject"

上面的指令會將新的防火牆規則寫進設定檔中，接著還要載入設定檔才會生效：

# 重新載入防火牆規則
sudo firewall-cmd --reload

最後列出當前的防火牆規則，確認新的阻擋 IP 規則有被納入其中：

# 列出目前防火牆規則
sudo firewall-cmd --list-all

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources: 
  services: dhcpv6-client http https ssh
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
	rule family="ipv4" source address="110.43.54.236" reject

解除阻擋特定來源 IP 位址

若要解除阻擋特定來源 IP 位址，可以使用 firewall-cmd 搭配 --remove-rich-rule 參數，並指定要移除的防火牆規則：

# 要解除阻擋的來源 IP 位址
IP_ADDR="110.43.54.236"

# 解除阻擋特定來源 IP 位址
sudo firewall-cmd --permanent --remove-rich-rule="rule family='ipv4' source address='${IP_ADDR}' reject"

移除阻擋 IP 位址的防火牆規則之後，同樣需要重新載入設定檔，並檢查當前設定值：

# 重新載入防火牆規則
sudo firewall-cmd --reload

# 列出目前防火牆規則
sudo firewall-cmd --list-all

參考資料：Tecmint、Magento、G. T. Wang、凍仁的筆記