Segurança: Bloqueando o acesso de países inteiros pelo IPTables

Dica de segurança: aprenda como bloquear países inteiros usando o IPTables. Este tutorial pode ser usado de maneira complementar ao Firewall que já ensinei aqui no Fator Binário com as camadas de bloqueio pela CloudFlare, Firewall do ISPConfig e Fail2Ban.

Para isso funcionar corretamente proceda com os seguintes passos:

– Crie um script que conterá as regras de firewall.

> mkdir -p /etc/customfirewall

> touch /etc/customfirewall/firewall-complementar

> chmod +x /etc/customfirewall/firewall-complementar

Os comandos acima criam um arquivo de script no diretório /etc/customfirewall alterando-o para executável.

Em seguida edite este arquivo novo e cole as seguintes regras, o exemplo abaixo refere-se ao bloqueio dos IPs da Tunisia:

#!/bin/bash
#Regras de firewall adicionais: BAN IPs em blacklists (TUNISIA)

/sbin/iptables -N CUSTOM_BLACKLIST
/sbin/iptables -I INPUT -j CUSTOM_BLACKLIST
/sbin/iptables -A CUSTOM_BLACKLIST -s 41.224.0.0/13 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 169.255.92.0/22 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 192.68.138.0/24 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 193.95.0.0/17 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 196.41.95.0/24 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 196.176.0.0/14 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 196.184.0.0/14 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 196.203.0.0/16 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 196.216.156.0/22 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 196.224.0.0/12 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 197.0.0.0/11 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 207.65.70.32/28 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 207.65.70.80/28 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 207.65.71.48/28 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 208.114.116.184/29 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 213.150.160.0/19 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 213.190.93.33/32 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 213.206.136.218/32 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 169.255.68.0/22 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 168.227.128.32/29 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 168.227.128.0/27 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 57.85.32.0/20 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 65.169.217.101/32 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 80.85.27.200/29 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 86.66.13.96/28 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 88.202.107.80/28 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 88.202.111.80/28 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 88.202.123.0/24 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 154.72.224.0/20 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 154.104.0.0/13 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 160.156.0.0/14 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 164.160.0.0/22 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 165.50.0.0/15 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 168.181.52.224/27 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 168.181.53.0/26 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 168.181.53.72/29 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 168.196.238.192/26 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 168.196.239.0/24 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -s 216.153.65.0/26 -j DROP
/sbin/iptables -A CUSTOM_BLACKLIST -j RETURN

Salve o arquivo e execute-o para testar com o comando:

> /etc/customfirewall/firewall-complementar

Se não der erro algum agora só temos que adicionar o script ao rc.local para que sempre que o servidor reiniciar as regras serem aplicadas. Lembrando que eu só uso Debian por aqui então se estiver com uma outra distro aprenda qual a melhor maneira de aplicar isso na documentação da sua versão Linux.

Edite o arquivo /etc/rc.local e cole as seguintes linhas antes do “exit 0” que já existe lá:

/etc/customfirewall/firewall-complementar || exit 1

Salve o arquivo e pronto.

Caso queira bloquear outros países acesse o link abaixo, mas tome cuidado ao bloquear países onde servidores de serviços básicos estejam operando como por exemplo CloudFlare, UptimeRobot, repositórios da distro, etc..

Link: https://www.ip2location.com/blockvisitorsbycountry.aspx