Blocați 1,4 milioane de adrese IP pe VPS

Cum pot bloca o listă de aproximativ 1,4 milioane de adrese IP? Am încercat deja să o fac cu iptables PREROUTING, cum ar fi:

-A PREROUTING -d IP_HERE/32 -j DROP

Dar cu atâtea înregistrări, lățimea de bandă îmi scade ca nebun când fac un test de viteză.

Fără IP-uri blocate în iptables:

1 Gb/s

Cu IP-uri blocate în iptables:

3 Mb/s la vârf.

Vreau să folosesc XDP_DROP ca aici (ultimul pas): https://blog.cloudflare.com/how-to-drop-10-million-packets/

Dar nu am idee cum să folosesc asta. :/ (Sunt foarte prost la programare)

Există alternative la această abordare?

Frame challenge - care este lista mai scurtă, adresele autorizate sau blocate?

În loc să refuzați 1,4 milioane, permiteți pur și simplu aproximativ duzina de IP-uri pe care doriți să le permiteți și respingeți totul implicit.

Dacă adresele IP funcționează într-un interval bine definit, atunci puteți utiliza ufw ca asta pentru a bloca traficul:

sudo ufw deny de la 192.0.0.0/8 la orice

Exemplul de mai sus blochează tot traficul de la 192.0.0.1 la 192.255.255.254, care rezultă la 16.777.214 de adrese și acest lucru are un efect zero (observabil) asupra debitului rețelei.

Atâta timp cât lista dvs. de IP este operabilă pentru a genera intervale de IP, acest lucru poate funcționa pentru dvs.

Puteți minimiza căutările pentru a câștiga mai multă viteză structurarea arborilor regulile tale. Puteți, de exemplu, să o faceți pe baza primei părți a IP-ului, de exemplu. /8 ca astfel:

iptables -N rule8_192_0_0_0
iptables -N rule8_172_0_0_0
iptables -N regula8_10_0_0_0

iptables -A INPUT -s 192.0.0.0/8 -j rule8_192_0_0_0
iptables -A INPUT -s 172.0.0.0/8 -j rule8_172_0_0_0
iptables -A INPUT -s 10.0.0.0/8 -j rule8_10_0_0_0

iptables -A rule8_192_0_0_0 -s 192.168.2.3 -j DROP
iptables -A rule8_172_0_0_0 -s 172.16.2.3 -j DROP
iptables -A rule8_10_0_0_0 -s 10.10.2.3 -j DROP

Există o altă îmbunătățire care vă rezolvă în mod direct problema de 3 Mb/s:

iptables -I INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Acest lucru permite conexiunilor stabilite să parcurgă cât mai puține reguli iptables posibil, deși utilizarea ipset pentru a îmbunătăți viteza de căutare a adresei IP este încă necesară pentru conexiuni noi să se stabilească mai repede.

Indiferent câte alte reguli ai, aceasta este una bună de implementat ca primă regulă.

Acest lucru nu folosește iptables, ci tabelul de rutare a nucleului ip, poate merita să îl încercați și să verificați performanța:

ruta ip adaugă gaură neagră IPv4/32

IIRC ar trebui să fie mai rapid decât filtrarea cu iptables, dar nu am făcut niciodată un benchmark cu 1,4 milioane de IP-uri :)

XDP_DROP este probabil exagerat, cu excepția cazului în care intenționați să rulați aceste liste de blocare la viteze extrem de mari ale pachetelor (Gândiți-vă la >1mpps). Ca atare, aș recomanda răspunsul lui Cyrbil dacă nu aveți atât de experimentat cu codul.

Dacă totuși doriți să încercați cu XDP, căutați ceva numit a filtru de înflorire care poate verifica rapid dacă un ip este „posibil în set” sau „cu siguranță nu este în set”

Un exemplu de filtru de înflorire în C: Această postare pe blog