केवल CloudFlare (iptables) के माध्यम से वेब सर्वर तक पहुंच की अनुमति दें

अलग-अलग कंप्यूटर बदमाशों - हैकर्स से साइट्स को बचाने के लिए क्लाउडफ्लेयर एक बेहतरीन चीज है। हालांकि, अगर वे किसी भी तरह से वेब सर्वर के मूल आईपी को पहचानते हैं, जिस पर वह साइट स्थित है, तो वे प्रॉक्सी को दरकिनार करते हुए कम से कम आईपी द्वारा उस पर हमला करने की कोशिश करेंगे। आप गैर-मौजूद डोमेन तक पहुँचने का प्रयास करते समय, आप पुनर्निर्देशित कर सकते हैं, 444 NGINX रीसेट भेजें, लेकिन स्थिति से सबसे अधिक लोहा यह है: केवल हमारे सुरक्षा प्रॉक्सी के आईपी पते के लिए सर्वर पर http / https ट्रैफ़िक खोलें।

वैसे, यह विधि सभी प्रकार की साइटों जैसे क्रम्फ्लारे.ऑर्ग को आंशिक रूप से बेकार बना सकती है । खैर, "जासूस" को पता चला कि डोमेन एक बार इस तरह के आईपी द्वारा पहुंच योग्य था - अगर यह अभी भी आईपी में लॉग इन करने की कोशिश कर रहा है, तो जाँच करें: 443 या आईपी: 80 बेकार हो जाएगा।
और यदि आप सर्वर पर सभी पोर्ट को बंद करते हैं, तो ICMP को अक्षम करें और केवल IPMI / VNC के माध्यम से एक्सेस की अनुमति दें, किसी को भी पता नहीं चलेगा कि हमारे IP पर कुछ भी है।

आइए इसे iptables में करें।

CloudFlare के पास बड़ी संख्या में पते हैं, लेकिन वे सभी छोटी संख्या में सबनेट में संपीड़ित हैं। इस तरह के अनुरोध को स्वीकार करते हुए, लोगों ने एक लेख प्रकाशित किया जिसमें कहा गया था कि आप अपने वर्तमान सबनेट और यहां तक ​​कि आईपाइटल में क्या लिख ​​सकते हैं। एक समस्या यह है कि इसे मैन्युअल रूप से किया जाना चाहिए, जो असुविधाजनक और अविश्वसनीय है: क्लाउडफ़ेयर में पता समय के साथ बदल सकता है, और किसी दिन ऐसा हो सकता है कि नए पते पर स्थित प्रॉक्सी आपके सर्वर पर अनुमति नहीं दी जाएगी। तदनुसार, जिन ग्राहकों के सत्र इन नए पतों के माध्यम से जाएंगे, वे आपकी साइट तक नहीं पहुंच पाएंगे।

सौभाग्य से, समस्या स्वचालित है। तो:

1. हम iptables में सभी HTTP / HTTPS ट्रैफिक को प्रतिबंधित करते हैं:

iptables -I INPUT 1 -p tcp -m multiport --dports http,https -j DROP 

2. कहीं न कहीं, उदाहरण के लिए, /root/cloudflare-update.sh के माध्यम से क्लाउडफ़ेयर-update.sh स्क्रिप्ट को निम्न सामग्रियों के साथ रखें:

 #!/bin/bash while read ip ; do iptables -D INPUT -p tcp -m multiport --dports http,https -s "$ip" -j ACCEPT ; done <<< "$(curl https://www.cloudflare.com/ips-v4)" while read ip ; do iptables -I INPUT -p tcp -m multiport --dports http,https -s "$ip" -j ACCEPT ; done <<< "$(curl https://www.cloudflare.com/ips-v4)" iptables-save > /etc/iptables/rules.v4 

यही है, हम पहले से जोड़े गए सभी मौजूदा प्रविष्टियों को हटाते हैं, क्लाउडफ़ेयर एड्रेस सूची में शामिल सभी चीज़ों को फिर से जोड़ते हैं। इस तरह हम डुप्लिकेट नियमों से बचते हैं। अंत तक - बचाओ।

3. हम स्क्रिप्ट को निष्पादन योग्य बनाते हैं:

 chmod +x /root/cloudflare-update.sh 

4. मुकुट (उदाहरण के लिए, / etc / crontab फ़ाइल के अंत में) हम हर 12 मिनट में पतों को अपडेट करने के लिए कार्य जोड़ते हैं:

 0 */12 * * * root /root/cloudflare-update.sh &> /dev/null 

वह सब है! अब आप केवल प्रॉक्सी के माध्यम से अपने सर्वर पर 80 और 443 पोर्ट प्राप्त कर सकते हैं, क्योंकि किसी भी समय, सर्वर पर केवल प्रॉक्सी से संबंधित पतों की अनुमति है।