CentOS 7のsshdをGeoIPを使用してアクセス制限する

今までは下記のサイトから取得したデータからJPを抽出して/etc/hosts.allowに追加していたのですが、直ぐに面倒になって放置していました。

ftp://ftp.apnic.net/pub/apnic/stats/apnic/delegated-apnic-latest

自動更新にするスクリプトを作成するかと思いつつ、代わりになるような方法は無いかなと探していたらありました。GeoIPを使って簡単にできるとは。

Allow SSH access based on GeoIP country
https://www.claudiokuenzler.com/blog/676/ssh-access-filter-based-on-geoip-database-allow-deny

MaxMind
https://www.maxmind.com/en/home

GeoLite2 Free Downloadable Databases
https://dev.maxmind.com/geoip/geoip2/geolite2/

今回はCentOS 7に設定してみました。
上記サイトのスクリプトはgeoiplookup,geoiplookup6コマンドを利用しています。インストールされていない場合は下記のコマンドでインストールして下さい。

geoiplookupコマンドを実行してみます。ここから国コードを抽出しているのですね。

1. スクリプト/usr/local/bin/ipfilter.shの作成

許可する国をJPに修正しています。

Shell

#!/bin/bash # License: WTFPL # UPPERCASE space-separated country codes to ACCEPT ALLOW_COUNTRIES="JP" LOGDENY_FACILITY="authpriv.notice" if [ $# -ne 1 ]; then echo "Usage: `basename $0` " 1>&2 exit 0 # return true in case of config issue fi if [[ "`echo $1 | grep ':'`" != "" ]] ; then COUNTRY=`/usr/bin/geoiplookup6 "$1" | awk -F ": " '{ print $2 }' | awk -F "," '{ print $1 }' | head -n 1` else COUNTRY=`/usr/bin/geoiplookup "$1" | awk -F ": " '{ print $2 }' | awk -F "," '{ print $1 }' | head -n 1` fi [[ $COUNTRY = "IP Address not found" || $ALLOW_COUNTRIES =~ $COUNTRY ]] && RESPONSE="ALLOW" || RESPONSE="DENY" if [[ "$RESPONSE" == "ALLOW" ]] ; then logger -p $LOGDENY_FACILITY "$RESPONSE sshd connection from $1 ($COUNTRY)" exit 0 else logger -p $LOGDENY_FACILITY "$RESPONSE sshd connection from $1 ($COUNTRY)" exit 1 fi

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

#!/bin/bash # License: WTFPL   # UPPERCASE space-separated country codes to ACCEPT ALLOW_COUNTRIES="JP" LOGDENY_FACILITY="authpriv.notice"   if [ $# -ne 1 ]; then   echo "Usage:  `basename $0` " 1>&2   exit 0 # return true in case of config issue fi   if [[ "`echo $1 | grep ':'`" != "" ]] ; then   COUNTRY=`/usr/bin/geoiplookup6 "$1" | awk -F ": " '{ print $2 }' | awk -F "," '{ print $1 }' | head -n 1` else   COUNTRY=`/usr/bin/geoiplookup "$1" | awk -F ": " '{ print $2 }' | awk -F "," '{ print $1 }' | head -n 1` fi [[ $COUNTRY = "IP Address not found" || $ALLOW_COUNTRIES =~ $COUNTRY ]] && RESPONSE="ALLOW" || RESPONSE="DENY"   if [[ "$RESPONSE" == "ALLOW" ]] ; then   logger -p $LOGDENY_FACILITY "$RESPONSE sshd connection from $1 ($COUNTRY)"   exit 0 else   logger -p $LOGDENY_FACILITY "$RESPONSE sshd connection from $1 ($COUNTRY)"   exit 1 fi

2. 実行権限の設定
Shell

[root@centos7 ~]# chmod 755 /usr/local/bin/ipfilter.sh

1	[root@centos7 ~]# chmod 755 /usr/local/bin/ipfilter.sh

3. 全てのssh接続を拒否
Shell

[root@centos7 ~]# vi /etc/hosts.deny [root@centos7 ~]# cat /etc/hosts.deny sshd: ALL

1 2 3

[root@centos7 ~]# vi /etc/hosts.deny [root@centos7 ~]# cat /etc/hosts.deny sshd: ALL

4. 許可するIP(国コードJP)を設定
Shell

[root@centos7 ~]# vi /etc/hosts.allow [root@centos7 ~]# cat /etc/hosts.allow # local address sshd: 192.168.1. # Japan IP sshd: ALL: spawn /usr/local/bin/ipfilter.sh %a

1 2 3 4 5 6 7

[root@centos7 ~]# vi /etc/hosts.allow [root@centos7 ~]# cat /etc/hosts.allow   # local address sshd: 192.168.1. # Japan IP sshd: ALL: spawn /usr/local/bin/ipfilter.sh %a

暫くすると拒否されたIPがログに記録されました。

2019/10/5 追記
どうもCentOS 7のTCP wrapperでは終了コードでallow,denyが機能していないようです。いろいろ情報を探しているけど出来ないっているのを一つだけ見つけました。

https://www.linuxsecrets.com/3805-tcp-wrapper-block

ログにはDENYと記録されているのに、その後接続を受け付けているんですよね。

ちなみに/etc/hosts.allowに許可IPを記述すると、それ以外からの接続は下記のようにログに記録されます。