でびあんのがらくた箱 » Linuxシステム関連

特定の国からのアクセスを弾く

DebianOoM — Tue, 23 Feb 2010 08:46:48 +0000

だいぶ前のメモの「韓国 IP アドレスからのパケットを遮断する」からフィルタリストが取得できなくなっていたので、自分で作ってみた(;´ω`)

APNICのIPアドレス割り当てリストを元に、特定の国のIPだけを抜き出してリスト化しました。

おことわり

上記の通り、自家製スクリプトでAPNICのIPアドレス割り当てリストから機械的に特定の国コードのIPだけを抜き出してリストアップしただけです。

APNIC管轄外のIPなど抜けがあります。

（一応確認しましたが）ネットマスクの計算にミスがあるかもしれません（ぉぃ

このフィルタを利用して受けたいかなる不利益にたいしても一切責任を負いません。

IPリスト

韓国 : KR.sh.txt / KR.txt
中国 : CN.sh.txt / CN.txt
香港 : HK.sh.txt / HK.txt
台湾 : TW.sh.txt / TW.txt

「*.sh.txt」がiptables用のスクリプト
「*.txt」がただIPを並べただけのリスト

更新日などはhttp://www.kvs.jp/iplist/ を参照ください。
cronで週に１回自動更新するようにしてあります。
（他にもリストアップたほうがいい国コードがあれば追加します）

使い方

使い方も一緒ですが、念のため書いておきます。

フィルタ用にiptablesのチェインを作成
[shell gutter="false"]# iptables -N KRFILTER
# iptables -N KRFILTERED
[/shell]

適用したいフィルタを実行
[shell gutter="false"]# sh CN.sh.txt[/shell]

フィルタにひっかからなかった（アクセス許可する）パケットを通過させる設定
[shell gutter="false"]# iptables -A KRFILTER -j ACCEPT[/shell]

フィルタに引っかかった（アクセス拒否する）パケットを破棄する設定
[shell gutter="false"]# iptables -A KRFILTERED -j DROP[/shell]

TCP 接続開始パケット（NEW）を INPUT チェインから KRFILTER に飛ばす設定を追加
[shell gutter="false"]# iptables -A INPUT -p tcp -m state –state NEW -j KRFILTER[/shell]

フィルタルールを保存
[shell gutter="false"]# /sbin/service iptables save[/shell]

参考

Linkメモ（CentOS関連）

DebianOoM — Sun, 14 Feb 2010 11:26:04 +0000

CentOS初期設定いろいろ

root宛メールを転送
SELinuxを無効化

など → http://centossrv.com/centos5-init.shtml

yumへremiレポを追加
→ http://memorandum.yamasnet.com/archives/Post-165.html

webmin : http://www.webmin.com/

apacheのsuExecを設定変更
suExecだけ差し替えでなく、src.rpmからリビルド
→ Apache+suExec構築メモ

ソフトウェアRAID1を構築する際のMBR設定
/bootをミラーリングしてもブートローダのgrubは片方のHDDにしかインストールされないので、もう片方のHDDにもインストールする方法。

apcupsd

DebianOoM — Wed, 13 Sep 2006 11:30:02 +0000

LinuxのUPS（無停電監視装置）用daemon「apcupsd」のインストール

配布元: Apcupsd, a daemon for controlling APC UPSes （http://www.apcupsd.org/）

インストール

RedHat用のrpmパッケージだと何故か上手くいかなくて、src.rpmパッケージからのRebuildも失敗するのでsource(tar.gz)からmakeすることにする

2006-09-12 現在最新Stableは 3.12.4



$ tar zxvf apcupsd-3.12.4.tar.gz

$ cd apcupsd-3.12.4

インストーラがVineLinuxを認識してくれないので、RedHatとして誤魔化す



$ su

# echo 'Red Hat Linux release 8.0 (Psyche)' > /etc/redhat-release

（RedHat8でいいんだろうか？まぁヨシとしよう）

CGIによる状態監視、ネットワークによるUPS共有なども入れてmake



$ ./configure --enable-cgi --with-cgi-bin=/var/www/cgi-bin/apcups \

--enable-net --enable-master-slave

configureの最後に出てくるメッセージを確認



Configuration on Tue Sep 12 22:40:11 JST 2006:

Host:                       i686-pc-linux-gnu -- redhat 8.0

Apcupsd version:            3.12.4 (19 August 2006)

Source code location:       .

Install binaries:           /sbin

Install config files:       /etc/apcupsd

Install man files:          /usr/share/man

Nologin file in:            /etc

PID directory:              /var/run

LOG dir (events, status)    /var/log

LOCK dir (for serial port)  /var/lock

Power Fail dir              /etc/apcupsd

Compiler:                   /usr/bin/g++ 3.3.2

Compiler flags:             -g -O2 -Wall

Linker flags:                -g -O

Host and version:           redhat 8.0

Shutdown Program:           /usr/bin/shutdown

Port/Device:                /dev/ttyS0

Network Info Port (CGI):    3551

Master/slave Port:          6666

UPSTYPE                     apcsmart

UPSCABLE                    smart

drivers (no-* are disabled): apcsmart dumb net no-usb no-snmp no-test

enable-master-slave:        yes

enable-nis:                 yes

with-nisip:                 0.0.0.0

enable-cgi:                 yes

with-cgi-bin:               /var/www/cgi-bin/apcups

with-libwrap:

enable-nls:                 no

enable-libintl:             no

enable-powerflute:          no

enable-pthreads:            yes

enable-dist-install:        yes

間違いがなければmakeしてインストール



$ make

$ su

# make install

主要コマンドは/sbinに、設定ファイルは/etc/apcupsd、起動スクリプトは/etc/init.dに入っている

設定

/etc/apcupsd/apcupsd.confを書き換える

今回は1台のUPSに3台のサーバを繋ぎ、LANで状態を共有する

共通部分



UPSTYPE apcsmart

DEVICE /dev/ttyS0

ONBATTERYDELAY 6  （電源が切れてから以下の状態監視を始めるまでの時間差）

BATTERYLEVEL 15 （バッテリー残が15%以下になったら終了処理開始）

MINUTES 5 （バッテリー残予想5分以下になったら終了処理開始）

TIMEOUT 180 （電源が切れて180秒後に終了処理開始）

NETTIME 30 （Master/Slave間の通信間隔）

UPSMODE net

NETACCESS true

NETPORT 6666

Master側（UPSとシリアルケーブルで接続）



UPSCLASS netmaster

SLAVE 192.168.0.3 （SlaveのIP）

SLAVE 192.168.0.4

Slave（LANでUPS状態を共有監視）



UPSCLASS netslave

MASTER 192.168.0.2 （MasterのIP）

USERMAGIC Slave1 （Slaveの識別子、Slaveごとにuniqueな名前をつける）

起動と状態監視

/etc/init.d以下に起動スクリプトが入っている

# /etc/init.d/apcupsd start

http://localhost/cgi-bin/apcups/multimon.cgi でUPSの状態を見ることができる

MasterからSlaveの状態も見られるように/etc/apcupsd/hosts.confを書き換える



MONITOR 127.0.0.1 "UPS Master"

MONITOR 192.168.0.3 "Slave1"

MONITOR 192.168.0.4 "Slave2"

テスト

UPSのコンセントを抜いてみる :p

参考: ITmedia エンタープライズ：How-To：特別企画：UPSを利用した電源対策

 HIROの酔いどれ日記改め、闘病日記 – apcupsdのセルフコンパイル

Image::Magick-perl

DebianOoM — Mon, 04 Sep 2006 08:24:52 +0000

VineLinuxでMovableTypeをインストールすると、Image::Magickは入っているのにmt-check.cgiでのシステムチェックで「Image::Magickがありません」と言われることがある。
Vineの場合、セキュリティの観点から？パッケージが細かく分けられていて、Image::Magick本体とPerl用スクリプトが別パッケージになっているため。
# apt-get install ImageMagick-perl
として、Image::MagickのPerl用スクリプトをインストールすれば解決する。

特定の国からのアクセスを弾く(Linkメモ)

DebianOoM — Fri, 04 Aug 2006 12:03:29 +0000

SPAMメールだのウィルスアタックだのが異様に多い特定の国からのアクセスを弾く、iptables用スクリプト

韓国 IP アドレスからのパケットを遮断する

2010/02/23

いつからか上記サイトでリストをダウンロードできなくなっていたので、スクリプトを自作してみました。

→ http://www.kvs.jp/archives/2369

daemontools

DebianOoM — Wed, 14 Sep 2005 23:01:21 +0000

daemontoolsのインストール
daemontools配布元： http://cr.yp.to/daemontools/install.html

インストール用の作業ディレクトリを作成
#mkdir /package #chmod 1755 /package
ここにDownloadして解凍
#cd /package #wget http://cr.yp.to/daemontools/daemontools-0.76.tar.gz #tar zxvf daemontools-0.76.tar.gz
FedoraCoreの場合このままではエラーになるので
/package/admin/daemontools-0.76/src/error.hの
extern int errno;
を
#include ;
と書き換えてからインストールスクリプトを実行
#cd admin/daemontools-0.76 #./package/install
svscan関係のコマンドが実行されているか確認
#ps ax | grep svscan root 738 1 0 Feb11 ? 00:00:00 /bin/sh /command/svscanboot root 740 738 0 Feb11 ? 00:00:00 svscan /service
実行されているならインストール完了。

tcpserver

DebianOoM — Sun, 11 Sep 2005 03:59:10 +0000

tcpアクセス制御プログラム
日本語解説サイト
http://www.emaillab.org/djb/tools/ucspi-tcp/top.html

インストール
適当なディレクトリで解凍（/usr/local/src/あたり）
# tar zxvf ucspi-tcp-0.88.tar.gz # cd ucspi-tcp-0.88
FedoraCore1の場合、このままmakeするとエラーになる
error.hの
extern int errno;
を
#include ;
と書き換えてmake
無事にmakeが終わったら
# make setup check
でインストール

apt-get

DebianOoM — Sun, 11 Sep 2005 02:28:57 +0000

便利なパッケージ管理ツール apt-getのインストール
FedoraCore用apt-get
http://www.fedora.us/wiki/FedoraHOWTO

インストール



# rpm -ivh apt-x.y.z.i386.rpm

使用法

Package情報のアップデート
スーパーユーザー(root)で



# apt-get update

Package情報を元にrpm packageをアップデート
# apt-get upgrade
引数なしで実行するとHelpが表示されます
# apt-get

でびあんのがらくた箱 » Linuxシステム関連

特定の国からのアクセスを弾く

おことわり

IPリスト

使い方

関連しそうなentry

Linkメモ（CentOS関連）

関連しそうなentry

apcupsd

インストール

設定

起動と状態監視

テスト

関連しそうなentry

Image::Magick-perl

関連しそうなentry

特定の国からのアクセスを弾く(Linkメモ)

2010/02/23

関連しそうなentry

daemontools

関連しそうなentry

tcpserver

関連しそうなentry

apt-get

インストール

使用法

関連しそうなentry