Заблокируйте 1,4 миллиона IP-адресов на VPS

Как я могу заблокировать список примерно из 1,4 миллиона IP-адресов? Я уже пытался сделать это с помощью iptables PREROUTING, например:

-A ПРЕДВАРИТЕЛЬНАЯ МАРШРУТИЗАЦИЯ -d IP_HERE/32 -j DROP

Но с таким количеством записей моя пропускная способность падает как сумасшедшая, когда я провожу тест скорости.

Без заблокированных IP-адресов в iptables:

1 Гбит/с

С заблокированными IP в iptables:

3 Мбит/с в пике.

Я хочу использовать XDP_DROP, как здесь (последний шаг): https://blog.cloudflare.com/how-to-drop-10-million-packets/

Но я понятия не имею, как это использовать. :/ (я очень плохо программирую)

Есть ли альтернативы этому подходу?

Вызов кадра - какой короткий список, авторизованные или заблокированные адреса?

Вместо того, чтобы запрещать 1,4 миллиона, просто разрешите примерно дюжину IP-адресов, которые вы хотите разрешить, и по умолчанию запретите все.

Если IP-адреса работают в четко определенном диапазоне, вы можете использовать уфв вот так, чтобы заблокировать трафик:

sudo ufw deny с 192.0.0.0/8 на любой

В приведенном выше примере блокируется весь трафик с 192.0.0.1 к 192.255.255.254, что составляет 16 777 214 адресов, и это не оказывает никакого (заметного) влияния на пропускную способность сети.

Пока ваш список IP-адресов находится в работоспособном состоянии для генерации диапазонов IP-адресов, это может сработать для вас.

Вы можете свести к минимуму количество поисковых запросов, чтобы увеличить скорость, древовидная структура ваши правила. Например, вы можете сделать это на основе первой части IP, т.е. /8 вот так:

iptables -N правило8_192_0_0_0
iptables -N правило8_172_0_0_0
iptables -N правило8_10_0_0_0

iptables -A ВХОД -s 192.0.0.0/8 -j правило8_192_0_0_0
iptables -A ВХОД -s 172.0.0.0/8 -j правило8_172_0_0_0
iptables -A ВХОД -s 10.0.0.0/8 -j правило8_10_0_0_0

iptables -A rule8_192_0_0_0 -s 192.168.2.3 -j DROP
iptables -A rule8_172_0_0_0 -s 172.16.2.3 -j DROP
iptables -A rule8_10_0_0_0 -s 10.10.2.3 -j DROP

Есть еще одно улучшение, которое напрямую решает вашу проблему с 3 Мбит/с:

iptables -I INPUT -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАННО -j ПРИНЯТЬ

Это позволяет установленным соединениям проходить как можно меньше правил iptables, хотя использование ipset для повышения скорости поиска IP-адресов по-прежнему необходимо для новые связи установить быстрее.

Независимо от того, сколько других правил у вас есть, это хорошее правило для развертывания в качестве первого правила.

Это использует не iptables, а таблицу маршрутизации ядра ip, возможно, стоит попробовать и проверить производительность:

ip route добавить blackhole IPv4/32

IIRC должен быть быстрее, чем фильтрация с помощью iptables, но я никогда не проводил тест с 1,4 миллионами IP-адресов :)

XDP_DROP, вероятно, является излишним, если вы не планируете запускать эти черные списки на чрезвычайно высоких скоростях передачи пакетов (думаю, > 1 млн. пакетов в секунду). Поэтому я бы порекомендовал Cyrbil anwser, если у вас нет опыта работы с кодом.

Если вы все же хотите попробовать XDP, вам нужно что-то, называемое фильтр Блума который может быстро проверить, является ли IP «возможно, в наборе» или «определенно не в наборе»

Пример фильтра Блума на C: Этот пост в блоге