Chặn 1,4 triệu địa chỉ IP trên VPS

Làm cách nào tôi có thể chặn danh sách khoảng 1,4 triệu địa chỉ IP? Tôi đã thử làm điều đó với iptables PREROUTING, như:

-A PREROUTING -d IP_HERE/32 -j DROP

Nhưng với nhiều bản ghi này, băng thông của tôi giảm như điên khi tôi thực hiện kiểm tra tốc độ.

Không có IP bị chặn trong iptables:

1Gb/giây

Với các IP bị chặn trong iptables:

3 Mb / giây ở mức cao nhất.

Tôi muốn sử dụng XDP_DROP như ở đây (bước cuối cùng): https://blog.cloudflare.com/how-to-drop-10-million-packets/

Nhưng tôi không có ý tưởng làm thế nào để sử dụng này. :/ (Tôi thực sự rất tệ trong việc lập trình)

Có những lựa chọn thay thế cho phương pháp này?

Thử thách khung - danh sách ngắn hơn, địa chỉ được ủy quyền hoặc bị chặn là gì?

Thay vì từ chối 1,4 triệu, chỉ cần cho phép ~ tá IP mà bạn muốn cho phép và mặc định từ chối mọi thứ.

Nếu các địa chỉ IP hoạt động trong một phạm vi được xác định rõ, thì bạn có thể sử dụng uww như thế này để chặn lưu lượng:

sudo ufw từ chối từ 192.0.0.0/8 đến bất kỳ

Ví dụ trên chặn tất cả lưu lượng truy cập từ 192.0.0.1 đến 192.255.255.254, có tới 16.777.214 địa chỉ và điều này không ảnh hưởng (đáng chú ý) đến thông lượng mạng.

Miễn là danh sách IP của bạn ở dạng khả thi để tạo dải IP, điều này có thể phù hợp với bạn.

Bạn có thể giảm thiểu tra cứu để đạt được tốc độ cao hơn bằng cách cấu trúc cây Quy tắc của bạn. Ví dụ, bạn có thể làm điều đó dựa trên phần đầu tiên của IP tức là /8 như vậy:

iptables -N quy tắc8_192_0_0_0
iptables -N quy tắc8_172_0_0_0
iptables -N quy tắc8_10_0_0_0

iptables -A INPUT -s 192.0.0.0/8 -j rule8_192_0_0_0
iptables -A INPUT -s 172.0.0.0/8 -j rule8_172_0_0_0
iptables -A INPUT -s 10.0.0.0/8 -j rule8_10_0_0_0

iptables -A rule8_192_0_0_0 -s 192.168.2.3 -j DROP
iptables -A rule8_172_0_0_0 -s 172.16.2.3 -j DROP
iptables -A rule8_10_0_0_0 -s 10.10.2.3 -j DROP

Có một cải tiến khác trực tiếp giải quyết vấn đề 3 Mb/giây của bạn:

iptables -I INPUT -m conntrack --ctstate ĐÃ THÀNH LẬP, LIÊN QUAN -j CHẤP NHẬN

Điều này cho phép các kết nối được thiết lập duyệt qua càng ít quy tắc iptables càng tốt, mặc dù việc sử dụng ipset để cải thiện tốc độ tra cứu địa chỉ IP vẫn cần thiết cho kết nối mới để thành lập nhanh hơn.

Cho dù bạn có bao nhiêu quy tắc khác, đây là một quy tắc tốt để triển khai làm quy tắc đầu tiên.

XDP_DROP có thể là quá mức cần thiết trừ khi bạn có kế hoạch chạy các danh sách chặn này ở tốc độ gói cực cao (Hãy nghĩ đến >1mpps). Vì vậy, tôi muốn giới thiệu Cyrbil's anwser nếu bạn chưa có kinh nghiệm về mã.

Tuy nhiên, nếu bạn muốn thử với XDP, bạn đang tìm kiếm thứ gọi là bộ lọc nở hoa có thể nhanh chóng kiểm tra xem một ip là "có thể được đặt" hay "chắc chắn không được đặt"

Một ví dụ về bộ lọc nở hoa trong C: bài đăng trên blog này

Điều này không sử dụng iptables nhưng bảng định tuyến nhân ip, có thể đáng để thử và kiểm tra hiệu suất:

tuyến ip thêm lỗ đen IPv4/32

IIRC được cho là nhanh hơn lọc bằng iptables, nhưng tôi chưa bao giờ thực hiện điểm chuẩn với 1,4 triệu IP :)