指定ip地址ping
作者:geek玩物
网络安全有一句话“当攻击成本大于收益时,你的系统就是安全的”
对于我们这种普通用户来说,收益甚微。只配使用脚本攻击,也就是说只要提高脚本小子的攻击成本就能够那么我们的内网设备就是相对安全的。
对于我个人而言,我是很不喜欢直接将内网设备直接暴露在公网中的。比如直接暴露端口到公网或者通过frp/nps工具间接的将端口暴露到公网中。这意味着所有人都可以可以访问位于内网中的设备,若是密码强度不够脚本小子就可以暴力破解密码登陆你的内网设备
对此我都是通过诸如像“Zerotier“之类的虚拟局域网工具。只暴露一个端口,用高强度公私钥提高攻击成本来确保相对安全。但是虚拟局域网工具对于家庭成员使用起来过于麻烦,直接网址就能访问的方式对于不懂电脑的家庭成员来说是最优解。那如何保证直接暴露在公网的内网设备安全了?在内网穿透第三篇教程里,通过nginx配置双向ssl来拒绝非授权用户访问内网设备。但是大部分的app都不支持自定义ssl双向认证因此被拒绝访问,只能通过浏览器访问时才能使用双向ssl。不能使用app,假设在内网的nas使用体验直接砍半。
还是那句话:提高攻击成本来抵御攻击。通过这几年云主机的使用经验来说,大部分的暴力破解尝试登陆都是来自国外ip,来自国内的ip几乎没有。因此屏蔽国外ip访问,只允许国内ip访问就能杜绝大部分脚本小子的攻击。
此教程针对性 centos6,centos7,ubuntu系统。
基本原理
通过设置防火墙白名单,仅仅允许白名单内ip入站,来允许我们希望的ip访问服务器。当我们把国内的ip段加载到白名单时就能实现屏蔽国外ip的作用。
安装ipset
#Debian/Ubuntu系统
apt-get -y install ipset
#CentOS系统
yum -y install ipset
新建一个allcn.sh文件,并复制下列内容到其中。服务器切换到root用户,并将allcn.sh文件上传到/root目录,之后允许命令“chmod +x allcn.sh”。如果你用家里的服务器,请在#放行局域网地址下面加入自己的内网地址段。
之后用root权限执行命令“/root/allcn.sh“就能屏蔽国外ip,执行“/root/allcn.sh stop“停止屏蔽国外ip。
#! /bin/bash
#判断本次运行时间
#判断是否具有root权限
root_need() {
if [[ $EUID -ne 0 ]]; then
echo "Error:This script must be run as root!" 1>&2
exit 1
fi
}
#检查系统分支及版本(主要是:分支->>版本>>决定命令格式)
check_release() {
if uname -a | grep el7 ; then
release="centos7"
elif uname -a | grep el6 ; then
release="centos6"
yum install ipset -y
elif cat /etc/issue |grep -i ubuntu ; then
release="ubuntu"
apt install ipset -y
fi
}
#安装必要的软件(wget),并下载中国IP网段文件(最后将局域网地址也放进去)
get_china_ip() {
#安装必要的软件(wget)
rpm --help >/dev/null 2>&1 && rpm -qa |grep wget >/dev/null 2>&1 ||yum install -y wget ipset >/dev/null 2>&1
dpkg --help >/dev/null 2>&1 && dpkg -l |grep wget >/dev/null 2>&1 ||apt-get install wget ipset -y >/dev/null 2>&1
#该文件由IPIP维护更新,大约一月一次更新(也可以用我放在国内的存储的版本,2019-05-18日版)
[ -f china_ip_list.txt ] && mv china_ip_list.txt china_ip_list.txt.old
wget https://github.com/17mon/china_ip_list/blob/master/china_ip_list.txt
cat china_ip_list.txt |grep 'js-file-line">' |awk -F'js-file-line">' '{print $2}' |awk -F'> china_ip.txt
rm -rf china_ip_list.txt
#wget https://www.321dz.com/shell/china_ip.txt
#放行局域网地址
echo "192.168.0.0/18" >> china_ip.txt
echo "10.0.0.0/8" >> china_ip.txt
echo "172.16.0.0/12" >> china_ip.txt
}
#只允许国内IP访问
ipset_only_china() {
echo "ipset create whitelist-china hash:net hashsize 10000 maxelem 1000000" > /etc/ip-black.sh
for i in $( cat china_ip.txt )
do
echo "ipset add whitelist-china $i" >> /etc/ip-black.sh
done
echo "iptables -I INPUT -m set --match-set whitelist-china src -j ACCEPT" >> /etc/ip-black.sh
#拒绝非国内和内网地址发起的tcp连接请求(tcp syn 包)(注意,只是屏蔽了入向的tcp syn包,该主机主动访问国外资源不用影响)
echo "iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 0 -j DROP" >> /etc/ip-black.sh
#拒绝非国内和内网发起的ping探测(不影响本机ping外部主机)
echo "iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP" >> /etc/ip-black.sh
#echo "iptables -A INPUT -j DROP" >> /etc/ip-black.sh
rm -rf china_ip.txt
}
run_setup() {
chmod +x /etc/rc.local
sh /etc/ip-black.sh
rm -rf /etc/ip-black.sh
#下面这句主要是兼容centos6不能使用"-f"参数
ipset save whitelist-china -f /etc/ipset.conf || ipset save whitelist-china > /etc/ipset.conf
[ $release = centos7 ] && echo "ipset restore -f /etc/ipset.conf" >> /etc/rc.local
[ $release = centos6 ] && echo "ipset restore < /etc/ipset.conf" >> /etc/rc.local
echo "iptables -I INPUT -m set --match-set whitelist-china src -j ACCEPT" >> /etc/rc.local
echo "iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 0 -j DROP" >> /etc/rc.local
echo "iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP" >> /etc/rc.local
#echo "iptables -A INPUT -j DROP" >> /etc/rc.local
}
main() {
check_release
get_china_ip
ipset_only_china
case "$release" in
centos6)
run_setup
;;
centos7)
chmod +x /etc/rc.d/rc.local
run_setup
;;
ubuntu)
sed -i '/exit 0/d' /etc/rc.local
run_setup
echo "exit 0" >> /etc/rc.local
;;
esac
}
main
脚本执行完成后就可以禁止国外ip访问服务器了,我使用一个新加坡的vps访问腾讯云华南区的云服务可以看到没办法访问。
由于对应国家ip段是会发生变化的,所以需要定时更新,所以需要加入定时任务。ip段库是一个月更新一次的,所以我们让脚本一个月执行一次就好了。执行命令“vim /etc/crontab“。按住i键,将下面这行复制到文件的最后一行。按esc键,输入”:wq!“保存退出。执行命令”crontab /etc/crontab“使得计划任务生效。
","force_purephv":"0","gnid":"9560844972f8e1f39","img_data":[{"flag":2,"img":[{"desc":"","height":"555","title":"","url":"https://p0.ssl.img.360kuai.com/t0148070d85a6b9272c.jpg","width":"600"},{"desc":"","height":"373","title":"","url":"https://p0.ssl.img.360kuai.com/t013325509c313704a6.jpg","width":"600"},{"desc":"","height":"450","title":"","url":"https://p0.ssl.img.360kuai.com/t019f429106577eab79.jpg","width":"600"}]}],"original":0,"pat":"art_src_1,fts0,sts0","powerby":"cache","pub_time":1665406222000,"pure":"","rawurl":"http://zm.news.so.com/d256083fdb42fa1e5cc73927d90c20d8","redirect":0,"rptid":"a356c88745d9d021","s":"t","src":"什么值得买","tag":[],"title":"内网穿透 篇四:拒绝脚本小子,屏蔽国外IP访问,打造更安全的内网穿透。* * * 1 * root bash /root/allcn.sh
龙琰从3774如何快速深入了解Ping?
万茗苛17723244605 ______ Ping是一个基本的互联网程序,能够让你验证一个特定的IP地址的存在,而且这个IP地址能够接受请求.动词Ping的含义是使用Ping工具或者指令.诊断性地使用Ping这个...
龙琰从3774Ping下指定的IP地址的作用是? -
万茗苛17723244605 ______ ping 命令最直观的就是看你的计算机的通信以及网络连接状态!ping通的情况下,说明你的网络没有任何问题!求采纳
龙琰从3774如何设置可使打开的网页指定IP地址? -
万茗苛17723244605 ______ 运行cmd输入ping/? 回车 再输入ping IP(网址) 就可以看到它的IP了IP和网址就是同一个东西 形式不一样 其他的自己设置应该就行了吧
龙琰从3774如何ping 自己的IP 地址啊, -
万茗苛17723244605 ______ 开始--运行--cmd 然后输入IPcongfig,IP Address就是你的IP地址 再输入ping 你的IP地址
龙琰从3774怎么利用ping命令查询局域网ip地址? -
万茗苛17723244605 ______ 开始→运行→输入:CMD 点击确定(或按回车键),打开命令提示符窗口. 直接使用ping 命令查看网址.如有路由器就可以看到IP地址了. 参考资料 《网络应用 巧用 ping》http://jingyan.baidu.com/article/b87fe19ebb46f852183568e2.html
龙琰从3774怎么ping 路由器的ip地址 -
万茗苛17723244605 ______ 电脑有线或者无线连接路由器,自动获取路由器ip或者手动设置喝路由器同一网段ip.电脑--运行--输入:ping 路由器ip地址
龙琰从3774怎么使用ping命令了? -
万茗苛17723244605 ______ PING (Packet Internet Grope),因特网包探索器,用于测试网络连接量的程序.Ping发送一个ICMP回声清求消息给目的地并报告是否收到所希望的ICMP回声应答. 它是用来检查网络是否通畅或者网络连接速度的命令.作为一个生活在网络上的...
龙琰从3774怎么样PING出自己的IP地址
万茗苛17723244605 ______ 点击开始菜单点运行输入CMD再输入ipconfig
龙琰从3774怎样才能知道自己电脑的IP地址,还有怎样Ping电脑,而且Ping电脑又是什么意思????
万茗苛17723244605 ______ 1.点击 http://www.ip138.com/即可查询运营商给你的电脑分配置的ip地址2.Ping 是Windows系列自带的一个可执行命令.利用它可以检查网络是否能够连通,用好它可以很好地帮助我们分析判定网络故障.应用格式:Ping IP地址.该命令还可以加许多参数使用,具体是键入Ping按回车即可看到详细说明.
龙琰从3774怎么PING自己的IP -
万茗苛17723244605 ______ 开始-运行-输入 ping -t 自己IP