一起使用 fireHOL IP 列表、ipset 和 iptables答案

【问题标题】：Using fireHOL IP lists, ipset and iptables together一起使用 fireHOL IP 列表、ipset 和 iptables
【发布时间】：2016-02-13 08:46:05
【问题描述】：

我想在我的 centOS 网络服务器上同时使用 fireHOL ip 列表：http://iplists.firehol.org、ipset 和 iptables。

我已经安装了 fireHOL 列表并更新了它生成的 IP 列表。

我已经安装了 ipset。

我已经安装并运行了 iptables（通过 CSF/LFD 控制）。

如何将 IP 列表、ipset 和 iptables 绑定在一起，以便通过 iptables (https://github.com/firehol/blocklist-ipsets/wiki/Downloading-IP-Lists#updating-the-ipsets-in-kernel) 阻止这些列表？

感谢您的帮助。

【问题讨论】：

【解决方案1】：

我不知道如何使用 CSF/LFD，但如果您使用 FireHOL，则每个 ipset 都需要类似以下内容。

假设您对 ipset dshield 感兴趣。在您的 firehol.conf 中，您应该在其顶部添加以下内容：

ipset4 create dshield hash:net
ipset4 addfile dshield ipsets/dshield.netset
blacklist4 input inface ${wan} log "BLACKLIST dshield" ipset:dshield

当然，上面是一个片段。您需要正确配置 firehol.conf。

然后，update-ipsets 会在更新时自动更新内核中的 dshield。

所以总体思路：

firehol 负责处理 1、2、3 和 4 的更新 ipset。检查这个：https://github.com/firehol/firehol/wiki/Working-with-IPSETs

或者：您可以通过在控制台上运行 ipset 命令来执行 1 和 2。您可以使用防火墙（它必须支持 ipsets）或通过在控制台上运行 iptables 命令来完成 3。

如果您不知道该怎么做，最简单的方法是使用 firehol。查看其文档 (http://firehol.org/guides/firehol-welcome/)。

【讨论】：

有趣，感谢详细的回复。我想知道 firehol 是否可以与我现有的 CSF/LFD 设置一起运行？这样我就可以保留我现有的设置并仅将 firehol 用于阻止列表...
好吧，firehol 将管理您的 iptables 防火墙的所有内容。您不能同时运行 2 个 iptables 防火墙管理器。
我创建了一个简单的脚本来处理上面的 1 和 2：github.com/firehol/firehol/blob/master/contrib/ipset-apply.sh 所以，使用它来创建 ipset 并加载内核中的任何文件。您必须使用防火墙来使用创建的 ipset 来阻止流量。现在您有 1、2、4，但您缺少 3。这必须使用您的防火墙来完成（或通过手动向其注入 iptables 命令 - 但我强烈建议不要这样做）。
我还为它添加了一个wiki页面：github.com/firehol/blocklist-ipsets/wiki/Linux-iptables-ipsets
惊人的帮助，谢谢。这正是我一直在寻找的，我很感激你投入的时间。问候。