你可能想在各种情况下阻止有人通过IP访问您的地址Linux系统。例如，作为最终用户，你可能想要保护自己，避免已知的间谍软件或跟踪者IP或者如果你在运行。P2P软件可能想要违反它P2P过滤掉与活动相关的网络连接。如果你是一名系统经理，你可能想禁止发送垃圾邮件IP访问您的地址生产环境邮件服务器。或者你可能因某个原因而希望阻止从某些国家访问网站服务器。不过在许多情况下，你的IP阻止列表的地址可能会迅速扩展到成千上万IP地址或IP地址段。那么你应该如何处理这种情况呢？
Netfilter/IPtables的问题
在Linux只需借助netfilter/iptables很容易阻止框架IP地址这一目的：
$ sudo iptables -A INPUT -s 1.1.1.1 -p TCP -j DROP如果你想禁止某一整个IP地址段也可以做到这一点:
$ sudo iptables -A INPUT -s 1.1.2.0/24 -p TCP -j DROP但是，如果你有1000个没有共同之处的话CIDR独立前缀(无类别域间路由)IP如果地址想禁止访问，该怎么办？然后你必须设置1000个iptables规则！显然，这种方法没有很好的扩展性。
$ sudo iptables -A INPUT -s 1.1.1.1 -p TCP -j DROP$ sudo iptables -A INPUT -s 2.2.2.2 -p TCP -j DROP$ sudo iptables -A INPUT -s 3.3.3.3 -p TCP -j DROP. . . .何谓IP集?
这时候，IP集(IP set)能派上大用场。IP允许多个(独立)的内核功能IP地址、MAC地址或多个端口号高效编码并存储在比特图/散列核数据结构中。一旦创建IP集合可以创建匹配该集的集合iptables规则。
你应该会立即看到它的使用IP收藏的好处是你只需要使用一个iptables规则，就能够与IP集中的多个IP地址进行匹配!你可以结合使用多个IP构建地址和端口号IP集，也可以用IP集动态更新iptables规则对性能没有影响。
将IPset工具安装到Linux上
想要创建和管理IP你需要使用一叫做收藏的名字ipset用户空间工具。
想将ipset安装到Debian、Ubuntu或Linux Mint上：
$ sudo apt-get install ipset想将ipset安装到Fedora或CentOS/RHEL 7上：
$ sudo yum install ipset使用IPset命令禁止IP地址
让我通过几个简单的例子来介绍如何使用它ipset命令。
首先，你不妨创造一个新的IP集，名为banthis(名称随意):
$ sudo ipset create banthis hash:net上述命令中的第二个变量(hash:net)它代表了所创建的集型类型。IP多种类型的集合。hash:net类型的IP集中使用散列存储多个CIDR区段。如果您想集中存储单个部分IP地址，可以改用hash:ip类型。
一旦你创建了一个IP此命令可用于检查该集：
$ sudo ipset list这显示了可用性IP 集的列表还显示了包括集成员在内的每一集的详细信息。默认情况下，每集IP集可以最多含有65536个元素(这里是CIDR区段)。只需在后面添加。“maxelem N”这个极限值可以通过选项来调整。
$ sudo ipset create banthis hash:net maxelem 1000000现在不妨将IP将该集添加到地址段：
$ sudo ipset add banthis 1.1.1.1/32$ sudo ipset add banthis 1.1.2.0/24$ sudo ipset add banthis 1.1.3.0/24$ sudo ipset add banthis 1.1.4.10/24你会发现集成员已经改变了。
$ sudo ipset list现在可以用了IP集来创建一个iptables这里的关键是使用规则。“-m set --match-set ”这个选项。
不妨创建一个iptables这些规则阻止了集中的所有这些IP通过端口80访问网站服务器，可以实现地址段：
$ sudo iptables -I INPUT -m set --match-set banthis src -p tcp --destination-port 80 -j DROP如果你想，你也可以具体IP保存到文件中，然后从文件中恢复：
$ sudo ipset save banthis -f banthis.txt$ sudo ipset destroy banthis$ sudo ipset restore -f banthis.txt我试着使用上述命令destroy删除现有的选项IP看看我能不能恢复IP集。
自动禁止IP地址
到目前为止，你应该会看到IP这个概念有多强大。仍然保持一份***的IP黑名单可能是一项麻烦和耗时的工作。事实上，有一些免费服务或收费服务可以维护你IP黑名单。另外，让我们看看我们如何使用它。IP自动转换成黑名单IP集。
我暂时从免费或收费中发布各种免费或收费IP阻止列表的iblocklist.com获取免费的IP列表P2P免费版格式。
我想用一个名字iblocklist2ipset的开源python这个工具可以P2P版本的iblocklist转换成IP sets。
首先，你需要安装它pip(想安装pip，请参考本指导文章：http://ask.xmodulo.com/install-pip-linux.html)。
然后安装iblocklist2ipset，如下所示。
$ sudo pip install iblocklist2ipset在Fedora之类的一些发行版上，你可能需要运行这个命令：
$ sudo python-pip install iblocklist2ipset现在进入到iblocklist.com，获取任何P2P列表URL(比如“level1”列表)。
然后将该URL粘贴以下命令：
$ iblocklist2ipset generate \--ipset banthis "http://list.iblocklist.com/?list=ydxerpxkpcfqjaybcssw&fileformat=p2p&archiveformat=gz" \> banthis.txt在您操作上述命令后，您创建了一个名称bandthis.txt文件。如果您检查其内容，您将看到以下内容：
create banthis hash:net family inet hashsize 131072 maxelem 237302add banthis 1.2.4.0/24add banthis 1.2.8.0/24add banthis 1.9.75.8/32add banthis 1.9.96.105/32add banthis 1.9.102.251/32add banthis 1.9.189.65/32add banthis 1.16.0.0/14你可以使用ipset该文件可以轻松装入命令：
$ sudo ipset restore -f banthis.txt现在，用下面的命令检查自动创建的命令IP集：
$ sudo ipset list banthis截止本文截止时，“level1”阻止列表包含237000多个IP地址区段。你会发现，许多IP地址段已被添加到地址段中。IP集中。
***，只需创建一个iptables这些地址阻止所有这些地址！
结束语
在本教程中，我演示了如何使用它ipset这种强大的工具可以防止不受欢迎IP地址。再结合iblocklist2ipset对于第三方工具，您可以很容易地简化维护IP地址阻止列表的工作。有些人可能想知道ipset提高速度的具体效果如下图所示ipset和使用ipset比较情况iptables基准测试结果(承认daemonkeeper.net提供图片)。
希望本文对大家有所帮助！
原文地址：http://xmodulo.com/block-unwanted-ip-addresses-linux.html