Comme on l’a vu dans cet article<\/a>, il est possible d’extraire, puis de bloquer, une liste d’IP extraite d’un site comme https:\/\/www.blocklist.de\/<\/a><\/p>\n Malheureusement, lorsque ces listes contiennent plusieurs milliers d\u2019occurrences, IPtables peine \u00e0 les ajouter une \u00e0 une. La cadence d’ajout passe de plusieurs dizaines d’IP \u00e0 la seconde \u00e0 plusieurs secondes par IP au fur et \u00e0 mesure de l’avancement de la t\u00e2che.<\/p>\n Voici d\u2019autres articles de mon blog qui traitent du m\u00eame sujet :<\/p>\n <\/p>\n IPset a \u00e9t\u00e9 introduit dans la version 2.6.32 du noyau GNU\/Linux et est pris en charge dans Debian 7 et 8, ainsi que dans Red Hat 6 et suivants.<\/p>\n Il permet de stocker des adresses IP, des r\u00e9seaux, des num\u00e9ros de port (TCP\/UDP), des adresses MAC, des noms d’interfaces ou des combinaisons de ceux-ci.<\/p>\n Comme il utilise une table de hachage pour stocker\/r\u00e9cup\u00e9rer les adresses IP, la recherche est beaucoup plus rapide que des milliers de r\u00e8gles d’interdiction d’IPtables analys\u00e9es s\u00e9quentiellement.<\/p>\n Cependant, une liste IPset est limit\u00e9e \u00e0 2^16 entr\u00e9es (65536).<\/p>\n Pour installer IPset, nous allons utiliser ces commandes :<\/p>\n Ce qui va probablement nous obliger \u00e0 installer quelques d\u00e9pendances :<\/p>\n Vous pouvez vous reporter \u00e0 cet article pour la configuration du firewall avec IPtables : https:\/\/www.fanjoe.be\/?p=1003<\/a><\/p>\n Juste apr\u00e8s la suppression des r\u00e8gles pr\u00e9c\u00e9dentes nous allons ajouter la partie IPset<\/strong> :<\/p>\n Nous avons cr\u00e9\u00e9 une table appel\u00e9e blacklist<\/strong> dans laquelle nous allons ajouter notre liste d’IP.<\/p>\n Ensuite, nous avons cr\u00e9\u00e9 une r\u00e8gle IPtables<\/strong> en Input<\/strong> et en Forward<\/strong> qui va chercher la correspondance avec le contenu de notre table. Si elle \u00ab\u00a0match\u00a0\u00bb, le paquet est bloqu\u00e9.<\/p>\n Tout \u00e0 la fin de notre fichier firewall, nous allons ajouter cet appel au script que nous allons voir plus loin :<\/p>\n On va cr\u00e9er \/ \u00e9diter le fichier On enregistre le fichier et on le rend ex\u00e9cutable :<\/p>\n Voici une liste de sites qui mettent \u00e0 disposition des listes d’IP \u00e0 bannir :<\/p>\n Un site qui r\u00e9f\u00e9rence plusieurs listes :<\/p>\n On va cr\u00e9er \/ \u00e9diter le fichier On enregistre le fichier et on le rend ex\u00e9cutable :<\/p>\n Puis, au lieu de relancer le firewall ou de red\u00e9marrer le RPi, nous allons ex\u00e9cuter le script que nous venons d’\u00e9crire :<\/p>\n Il faut compter jusqu’\u00e0 5 minutes pour charger toutes les IP (\u00b140000) dans la table.<\/p>\n Si vous voulez une sortie \u00e0 l’\u00e9cran pour voir les IP d\u00e9filer, d\u00e9-commentez la ligne On va mettre la liste des IP \u00e0 jour avec <\/p>\n R\u00e9f\u00e9rences :<\/strong><\/span><\/p>\n Introduction <\/p>\n
\n\n
IPset<\/h1>\n
Pr\u00e9sentation<\/h2>\n
Installation<\/h2>\n
$ sudo apt-get update && sudo apt-get upgrade && sudo apt-get install ipset<\/pre>\n
Lecture des listes de paquets... Fait\r\nConstruction de l'arbre des d\u00e9pendances \r\nLecture des informations d'\u00e9tat... Fait\r\nLes paquets suppl\u00e9mentaires suivants seront install\u00e9s\u00a0: \r\nlibipset3 libmnl0\r\nLes NOUVEAUX paquets suivants seront install\u00e9s\u00a0:\r\nipset libipset3 libmnl0\r\n0 mis \u00e0 jour, 3 nouvellement install\u00e9s, 0 \u00e0 enlever et 0 non mis \u00e0 jour.\r\nIl est n\u00e9cessaire de prendre 105 ko dans les archives.\r\nApr\u00e8s cette op\u00e9ration, 337 ko d'espace disque suppl\u00e9mentaires seront utilis\u00e9s.\r\nSouhaitez-vous continuer ? [O\/n] o<\/pre>\n
Ajout d’une r\u00e8gle au firewall<\/h2>\n
#Suppression des r\u00e8gles pr\u00e9c\u00e9dentes\r\niptables -F\r\niptables -X<\/span>\r\n\r\n#########\r\n# IPset #\r\n#########\r\n\r\nipset create blacklist hash:ip hashsize 4096\r\niptables -I INPUT -m set --match-set blacklist src -j DROP\r\niptables -I FORWARD -m set --match-set blacklist src -j DROP\r\n\r\n########\r\n# DROP #\r\n########<\/span><\/pre>\n# Ex\u00e9cution du script de BlackListIP-Start\r\n\/home\/pi\/scripts\/BlackListIP\/BlackListIP-Start.bash<\/pre>\n
Scripts<\/h1>\n
Script d’initialisation<\/h2>\n
\/home\/pi\/scripts\/BlackListIP\/BlackListIP-Start.bash<\/code> :<\/p>\n$ sudo nano \/home\/pi\/scripts\/BlackListIP\/BlackListIP-Start.bash<\/pre>\n
\r\n#!\/bin\/bash\r\n\r\n#####################################################\r\n# #\r\n# Script ex\u00e9cut\u00e9 au boot par \/etc\/init.d\/firewall #\r\n# #\r\n# Ban avec ipset toutes les IP des fichiers : #\r\n# \/home\/pi\/scripts\/BlackListIP\/BlackListIP.txt #\r\n# #\r\n#####################################################\r\n\r\n# V\u00e9rifie que l'on est en Root\r\nif [[ $EUID -ne 0 ]];\r\nthen\r\n\techo "Ce script doit \u00eatre ex\u00e9cut\u00e9 avec les privil\u00e8ges administrateur"\r\n \texit 1\r\nfi\r\n\r\n# Flush de la table blacklist.\r\nipset flush blacklist > \/dev\/null\r\n\r\n# Charge les IP dans ipset\r\nwhile read ip\r\ndo\r\n\tipset add blacklist $ip\r\ndone < \/home\/pi\/scripts\/BlackListIP\/BlackListIP.txt\r\n\r\n<\/pre>\n
$ sudo chmod +x \/home\/pi\/scripts\/BlackListIP\/BlackListIP-Start.bash<\/pre>\n
Script de mise \u00e0 jour de la liste d’IP \u00e0 bloquer<\/h2>\n
Les sites<\/h3>\n
\n
\n
Le script<\/h3>\n
\/home\/pi\/scripts\/BlackListIP\/BlackListIP-Refresh.bash<\/code> :<\/p>\n$ sudo nano \/home\/pi\/scripts\/BlackListIP\/BlackListIP-Refresh.bash<\/pre>\n
\r\n#!\/bin\/bash\r\n\r\n#######################################################################\r\n# #\r\n# Script ex\u00e9cut\u00e9 par cron pour rafraichir la liste des IP publiques #\r\n# #\r\n# Ban avec ipset toutes les IP du fichier : #\r\n# \/home\/pi\/scripts\/BlackListIP\/BlackListIP.txt #\r\n# #\r\n#######################################################################\r\n\r\n# V\u00e9rifie que l'on est en Root\r\nif [[ $EUID -ne 0 ]];\r\nthen\r\n\techo "Ce script doit \u00eatre ex\u00e9cut\u00e9 avec les privil\u00e8ges administrateur"\r\n \texit 1\r\nfi\r\n\r\nBLACKLIST_FILE="\/home\/pi\/scripts\/BlackListIP\/BlackListIP.txt"\r\nBLACKLIST_FILE_TMP="\/home\/pi\/scripts\/BlackListIP\/BlackListIP.tmp"\r\n\r\nBLACKLISTS=(\r\n"http:\/\/danger.rulez.sk\/projects\/bruteforceblocker\/blist.php"\r\n"http:\/\/cinsscore.com\/list\/ci-badguys.txt"\r\n"https:\/\/lists.blocklist.de\/lists\/all.txt"\r\n)\r\n\r\nfor liste in "${BLACKLISTS[@]}"\r\ndo\r\n\tLISTE_TMP=$(curl "$liste")\r\n\techo "$LISTE_TMP" | grep -Po '(?:\\d{1,3}\\.){3}\\d{1,3}(?:\/\\d{1,2})?' >> $BLACKLIST_FILE_TMP\r\ndone\r\n\r\nsort -n -t . -k 1,1 -k 2,2 -k 3,3 -k 4,4 $BLACKLIST_FILE_TMP | uniq > $BLACKLIST_FILE\r\nrm $BLACKLIST_FILE_TMP\r\n\r\n# Flush de la table blacklist pour \u00e9viter les doublons.\r\nipset flush blacklist > \/dev\/null\r\n\r\nwhile read ip\r\ndo\r\n\t#echo $ip\r\n\tipset add blacklist $ip\r\ndone < $BLACKLIST_FILE\r\n\r\n<\/pre>\n$ sudo chmod +x \/home\/pi\/scripts\/BlackListIP\/BlackListIP-Refresh.bash<\/pre>\n
$ sudo \/home\/pi\/scripts\/BlackListIP\/BlackListIP-Refresh.bash<\/pre>\n
# echo $ip<\/code><\/p>\ncron<\/h2>\n
cron<\/code> :<\/p>\n$ sudo crontab -e<\/pre>\n
# Charge la liste des IP blacklist\u00e9es depuis plusieurs sites tous les jours \u00e0 14h\r\n00 14 * * * sudo \/home\/pi\/scripts\/BlackListIP\/BlackListIP-Refresh.bash<\/pre>\n
\n