中国割り当て CIDR からの接続を拒否する

あまりに中国割り当て CIDR 経由からの Open HTTP Proxy を探すアクセスが多いため、中国割り当て CIDR からの 80 Port へのアクセスを拒否してみる。

(1) フィルタ方法

フィルタは、iptables で src net を指定して行う。
:IN-HTTP – [0:0]
-A INPUT -m state –state NEW -m tcp -p tcp –dport 80 -j IN-HTTP
-A IN-HTTP -s $CIDR -j REJECT
-A IN-HTTP -j ACCEPT

(2) CIDR 情報の入手

CIDR 情報は、www.completewhois.com にあるものを使用する。
　→ http://www.completewhois.com/statistics/data/ips-bycountry/rirstats/CN-cidr.txt

(3) フィルタ生成シェルスクリプト

結構な数があるので、手で書いてると日が暮れるため、シェルスクリプトにする。

reject_cn-cidr_for_iptables.sh

#!/bin/bash
LANG=C
CNCIDR="http://www.completewhois.com/statistics/data/ips-bycountry/rirstats/CN-cidr.txt"

for CIDR in `wget $CNCIDR -O - 2>/dev/null | grep -v "^#"`
do
  echo "-A IN-HTTP -s $CIDR -j REJECT"
done

実行結果