بستن آی پی کشورهای خارجی در لینوکس

احتمالاً همین الان که درحال خواندن این خطوط هستید، لاگ‌های سرور شما پر از تلاش‌های ناموفق ورود به SSH از سمت IPهای ناشناس است. واقعیت این است که تنها چند دقیقه بعداز متصل شدن یک سرور لینوکسی به اینترنت، اسکنرهای خودکار و حملات Brute-force از سمت کشورهای پرخطر به‌سمت آن سرازیر می‌شوند تا راهی برای نفوذ پیدا کنند و بستن آی پی کشورهای خارجی در لینوکس (Geo-blocking)، یک لایه دفاعی اولیه و بسیار کارآمد است تا این ترافیک مخرب را دقیقاً در سطح فایروال و قبل‌از درگیر کردن منابع سیستم مسدود کنید.

هرچند فیلتر جغرافیایی IP نباید تنها سنگر امنیتی شما باشد، اما به‌عنوان یک لایه از استراتژی دفاع در عمق (Defense in Depth)، سطح حمله به سرورتان را به‌طرز محسوسی کاهش می‌دهد.

در این مقاله قرار نیست فقط چند خط کد را کپی کنیم؛ بلکه یاد می‌گیریم چطور دسترسی‌های خارجی را اصولی محدود کنیم. از روش‌ رایج و سبک ترکیب iptables و ipset  تا گزینه‌های جدیدتر مثل nftables و در نهایت، فیلتر دقیق جغرافیایی با دیتابیس GeoIP را قدم‌به‌قدم روی سرور پیاده‌سازی خواهیم کرد.

روش‌های اصلی محدود کردن دسترسی براساس کشور

برای بستن آی پی کشورهای خارجی در لینوکس، هیچ راه‌حل واحد و مشابه برای همه وجود ندارد. بسته به اینکه از چه سیستم‌عاملی استفاده می‌کنید، ترافیک سرور شما چقدر است و قصد دارید از کدام سرویس (مثل وب‌سرور یا SSH) محافظت کنید، استراتژی متفاوتی نیاز خواهید داشت.

اما به‌طورکلی برای محدود کردن دسترسی بر اساس کشور و جلوگیری از حملات خارجی به سرور، سه مسیر و رویکرد اصلی در لینوکس وجود دارد که در این بخش آن‌ها را معرفی می‌کنیم:

۱- روش iptables + ipset

ابزار iptables فایروال پیش‌فرض و قدرتمند بسیاری از توزیع‌های لینوکسی است. اما یک چالش بزرگ دارد: اگر بخواهید هزاران رنج IP متعلق به یک کشور خارجی را مستقیماً و خط‌به‌خط وارد فایروال کنید، سرور شما برای پردازش هر بسته اطلاعاتی (Packet) باید تمام آن لیست بلندبالا را چک کند. نتیجه؟ افت شدید سرعت و درگیر شدن منابع سرور!

برای حل این مشکل از ابزار مکمل ipset استفاده می‌شود که به شما اجازه می‌دهد هزاران IP را در یک مجموعه (Set) دسته‌بندی کنید. سپس iptables تنها با یک خط دستور، تمام آن مجموعه را با سرعت بالا بررسی می‌کند.

• بهترین کاربرد: مسدود کردن دسترسی خارجی به SSH و بستن IP کشورهای پرخطر در فایروال لینوکس

۲- روش GeoIP/GeoLite و MaxMind

گاهی هدف ما فقط مسدود کردن پورت در سطح فایروال سرور نیست؛ بلکه می‌خواهیم در لایه وب‌سرور (مانند Nginx یا Apache) ترافیک را مدیریت کنیم. هدف از آموزش GeoIP در لینوکس برای پاسخ به همین نیاز است. در این روش ما از دیتابیس‌های شرکت MaxMind (معمولاً نسخه رایگان GeoLite2) استفاده می‌کنیم که آدرس‌های IP را به موقعیت‌های جغرافیایی نِگاشت (Map) می‌کنند.

مزایای اصلی این روش:

• امکان پیاده‌سازی منطق‌های پیچیده در وب‌سرور براساس کشور کاربر
• بهترین گزینه برای محدود کردن دسترسی فقط به IP ایران در سایت‌های شرکتی یا دولتی
• پشتیبانی از آپدیت‌های دوره‌ای و منظم برای شناسایی IPهای جدید

۳- روش nftables

اگر از توزیع‌های به‌روزتر (مثل دبیان ۱۰ به بالا، اوبونتو ۲۰.۰۴ به بعد یا RHEL 8 و AlmaLinux) استفاده می‌کنید، باید بدانید که ابزار قدیمی iptables به‌مرور درحال بازنشستگی است و جای خود را به nftables داده است. فایروال nftables ذاتاً از ساختار مجموعه‌ها (Sets) و نقشه‌ها (Maps) پشتیبانی می‌کند. این یعنی برای ایجاد لیست‌های عظیم IP، دیگر نیازی به نصب ابزارهای جانبی (مثل ipset) ندارید.

چرا nftables؟

• سرعت اجرای بالاتر و پردازش بهینه‌تر بسته‌های شبکه
• مدیریت یکپارچه‌تر قوانین و فیلتر کشورها در سرور لینوکس
• بهترین مسیر برای بلاک کردن IP کشورهای خاص در Ubuntu نسخه‌های مدرن به دلیل سینتکس (Syntax) ساده‌تر و خواناتر
• ایده‌آل برای محدود کردن دسترسی سرور لینوکس در مقیاس‌های کلان ابری

آموزش بستن آی پی کشورهای خارجی در لینوکس با iptables و ipset

یکی از پایدارترین و سبک‌ترین روش‌ها برای پیاده‌سازی Country Blocking در لینوکس، ترکیب قدرت iptables و سرعت پردازش ipset است. در ادامه ما قدم‌به‌قدم رنج IP کشورهای پرخطر را دریافت و در لایه شبکه مسدود می‌کنیم.

پیش‌نیازها؛ نصب ابزارها و دسترسی Root

قبل‌از شروع فرایند مسدودسازی IP در لینوکس، به دسترسی مدیریت (Root یا sudo) نیاز دارید. توزیع‌های مختلف معمولاً iptables را به‌طور پیش‌فرض دارند اما ابزار ipset باید نصب شود.

برای نصب در توزیع‌های مبتنی بر دبیان (اوبونتو):

sudo apt update
sudo apt install iptables ipset

برای توزیع‌های مبتنی بر ردهت (CentOS/AlmaLinux):

sudo yum install iptables ipset

ساخت لیست کشورها (تبدیل Zone File به Set)

فایروال سرور به‌خودی‌خود نمی‌داند IPهای کشور چین، روسیه یا هلند از کجا شروع و به کجا ختم می‌شوند! ما باید این رنج‌های IP را از یک مرجع معتبر دریافت و به یک لیست قابل‌فهم برای فایروال تبدیل کنیم.

گام اول: ابتدا یک مجموعه (یا Set) جدید در حافظه سرور می‌سازیم. اسم آن را block_countries می‌گذاریم:

sudo ipset create block_countries hash:net

گام دوم: حالا باید لیست IPهای کشور مدنظرمان (Zone File) را دانلود کنیم. سایت‌های مختلفی این دیتابیس را ارائه می‌دهند (مانند IPDeny). فرض کنید می‌خواهیم IPهای یک کشور خاص را دریافت کنیم و با یک حلقه ساده for، تمام آن‌ها را به لیستی که ساختیم تزریق کنیم:

wget -O cn.zone http://www.ipdeny.com/ipblocks/data/countries/cn.zone
for i in $(cat cn.zone); do sudo ipset add block_countries $i; done

بااین‌کار، عملاً زیرساخت اولیه برای فیلتر کشورها در سرور لینوکس آماده شده است.

اضافه کردن Rule به فایروال (اتصال به پورت هدف مثل SSH)

حالا که لیست ما پر از آدرس‌های نامطلوب است، باید به iptables دستور دهیم که با آن‌ها چه‌کار کند. فرض کنید هدف ما مسدود کردن دسترسی خارجی به SSH (پورت ۲۲) است. با اجرای دستور زیر، به فایروال می‌گوییم: هر ترافیک ورودی به پورت ۲۲ که IP مبدأ آن درون لیست block_countries بود را بدون معطلی دراپ (DROP) کن!

sudo iptables -I INPUT -p tcp --dport 22 -m set --match-set block_countries src -j DROP

تست و بررسی صحت عملکرد تنظیمات

شلیک کورکورانه در کانفیگ سرور ممنوع! بلافاصله بعداز اعمال تغییرات، برای اطمینان از مسدودیت دسترسی کشورهای خارجی به سرور، باید خروجی‌ها را چک کنید.

• بررسی وضعیت iptables: با دستور زیر مطمئن شوید که رول شما در زنجیره INPUT نشسته است و پکت‌ها (Packets) درحال دراپ شدن هستند:

sudo iptables -L -n -v

• بررسی لیست ipset: برای اطمینان از اینکه عملیات بلاک کردن IP کشورهای خاص در Ubuntu یا توزیع فعلی‌تان درست انجام شده و لیست خالی نیست:

sudo ipset list block_countries | head -n 15

همچنین اگر می‌خواهید ببینید واقعاً جلوگیری از حملات خارجی به سرور اتفاق افتاده یا نه، کافی است نگاهی به فایل لاگ‌های امنیتی سرور بیندازید (/var/log/auth.log در اوبونتو یا /var/log/secure در CentOS). اگر حجم لاگ‌های مربوط به تلاش‌های ناموفق ورود به شکل محسوسی کاهش یافت، یعنی کارتان را به بهترین شکل انجام داده‌اید.

آموزش GeoIP در لینوکس

اگر هدف شما صرفاً مدیریت ترافیک در لایه شبکه نیست و می‌خواهید تصمیم‌گیری‌ها را به وب‌سرور (مثل Nginx یا Apache) بسپارید، روش iptables کمی بیش‌ازحد خشک و سطح‌پایین است. مثلاً اگر یک سایت دولتی یا شرکتی دارید و هدف‌تان محدود کردن دسترسی فقط به IP ایران است، بهترین مسیر، انجام مراحل آموزش GeoIP در لینوکس است.

GeoIP چیست؟

یک سیستم نگاشت (Mapping) است که شبیه به یک دفترچه تلفن بین‌المللی عمل می‌کند. این تکنولوژی، آدرس‌های IP مراجعین را با یک دیتابیس عظیم تطبیق می‌دهد و موقعیت جغرافیایی آن‌ها (کشور، شهر، منطقه و حتی نام سرویس‌دهنده اینترنت) را مشخص می‌کند. معروف‌ترین ارائه‌دهنده این دیتابیس‌ها برای لینوکس، شرکت MaxMind است.

نصب و اتصال به دیتابیس (MaxMind و GeoLite2)

شاید بپرسید که چرا نمی‌توانم دیتابیس کشورها را مثل یک فایل فشردهٔ معمولی با دستور wget دانلود کنم؟ واقعیت این است که به‌دلیل قوانین سخت‌گیرانه حریم خصوصی (مثل GDPR)، شرکت MaxMind از چند سال پیش دانلود مستقیم و بدون احراز هویتِ دیتابیس رایگان GeoLite2 را مسدود کرد. حالا سرور شما برای دریافت دیتابیس، باید خودش را به‌صورت قانونی به سرورهای MaxMind معرفی کند.

برای برقراری این ارتباط، باید ۴ گام زیر را طی کنید:

۱. ثبت‌نام و دریافت لایسنس (License Key):

ابتدا در سایت MaxMind یک اکانت کاملاً رایگان بسازید. پس‌از ورود به پنل کاربری، به بخش Manage License Keys بروید و روی ایجاد کلید جدید کلیک کنید. در این مرحله، سایت دو رشته متنی حیاتی به شما می‌دهد: یک Account ID (شماره شناسه) و یک License Key (رمز عبور ارتباطی)

۲. نصب ابزار رابط (geoipupdate):

سرور شما برای وصل شدن به MaxMind و دانلود دیتابیس به یک کلاینت اختصاصی نیاز دارد. این ابزار را نصب کنید:

sudo apt install geoipupdate

۳. معرفی کلیدها به سرور (حلقه اتصال):

در این مرحله است که کلیدهای سایت به دستورات سرور گره می‌خورند! ابزار geoipupdate از کجا بداند شما کیستید؟ باید اطلاعات اکانت خود را در فایل پیکربندی (Config) این ابزار قرار دهید:

sudo nano /etc/GeoIP.conf

فایل را باز کنید و شناسه و کلیدی که در مرحله اول گرفتید را جایگذاری کنید:

AccountID شماره_شناسه_شما
LicenseKey کلید_اختصاصی_شما
EditionIDs GeoLite2-ASN GeoLite2-City GeoLite2-Country

(خط سوم به سرور می‌گوید که دقیقاً به دیتابیس شهرها، کشورها و شبکه‌ها نیاز داریم).

4. اجرا و دریافت فایل‌ها روی سرور:

حالا کافی است در ترمینال دستور sudo geoipupdate را اجرا کنید.

چه اتفاقی می‌افتد؟ ابزار به فایل کانفیگ نگاه می‌کند، Account ID و License Key شما را برمی‌دارد و به سرورهای MaxMind می‌فرستد. اگر کلیدها معتبر باشند، فایل‌های جدید دیتابیس (با فرمت mmdb) مستقیماً در مسیر /usr/share/GeoIP/ سرور شما دانلود و جایگذاری می‌شوند و وب‌سرور شما آماده است تا فیلتر IP کشورها را اعمال کند.

محدودیت‌ها و خطاهای احتمالی GeoIP

باید درنظر داشته باشید که بستن آی پی کشورهای خارجی در لینوکس ازطریق GeoIP همواره با دو چالش اساسی همراه است:

• چالش VPN و Proxy: اگر یک هکر روسی از یک سرور مجازیِ مستقر در تهران (یا VPN ایرانی) استفاده کند، دیتابیس GeoIP او را یک کاربر مجاز ایرانی تشخیص می‌دهد!
• دقت ۱۰۰ درصدی وجود ندارد: بلوک‌های IP دائماً خریدوفروش می‌شوند. ممکن است یک رنج IP اخیراً از یک شرکت اروپایی به یک شرکت آسیایی منتقل شده باشد و دیتابیس هنوز آپدیت نشده باشد.

نکات امنیتی مهم قبل‌از فعال‌سازی فایروال

یکی از تلخ‌ترین تجربه‌های هر مدیر سیستمی، زمانی است که دکمه Enter را می‌زند و ناگهان اتصال SSH خودش با سرور قطع می‌شود! وقتی با iptables یا ابزارهای مشابه کار می‌کنید، کوچک‌ترین اشتباه در منطق (Logic) قوانین، شما را از خانه خودتان بیرون می‌اندازد.

برای جلوگیری از حملات خارجی به سرور بدون اینکه خودتان قربانی شوید، رعایت دو قانون زیر کاملاً حیاتی است:

1- قانون اول- خودت را نجات بده! (Whitelist)

فایروال‌ها قوانین را از بالا به پایین می‌خوانند. اگر قانون مسدود کردن همه را در بالای لیست بگذارید، کار تمام است؛ بنابراین قبل‌از مسدود کردن دسترسی‌های خارجی به SSH، باید یک پناهگاه امن برای خودتان (آی‌پی سیستم شخصی یا سرور دفترتان) بسازید. برای تضمین دسترسی ادمین، قانون قبول ترافیک (ACCEPT) آی‌پی خودتان را در بالاترین سطح (-I یا Insert شماره ۱) قرار دهید:

sudo iptables -I INPUT 1 -s 192.168.1.100 -j ACCEPT

به‌جای 192.168.1.100، باید پابلیک (Static) خودتان را وارد کنید.

۲- قانون دوم- تست روی پورت غیرحساس

دومین قانون مهم این است که هیچ‌گاه تنظیمات جدید را مستقیماً روی پورت سرور (مثل پورت ۲۲ یا پورت سفارشی SSH) آزمایش نکنید. بهتر است یک پورت موقت (مثلاً ۸۰۸۰) را با ابزاری مثل netcat باز کنید:

nc -l 8080

سپس قانون بلاک کردن IP خارجی در لینوکس را موقتاً برای پورت ۸۰۸۰ بنویسید. حالا سعی کنید با یک سرور خارجی (یا روشن کردن VPN روی سیستم خودتان) به این پورت متصل شوید. اگر مسدود شدید اما همچنان به SSH دسترسی داشتید، یعنی معماری فایروال شما بی‌نقص است و می‌توانید آن را روی پورت اصلی اعمال کنید.

بهترین شیوه‌ها و پیاده‌سازی در محیط واقعی

تا اینجای کار با ابزارهای مختلفی برای بستن آی پی کشورهای خارجی در لینوکس آشنا شدیم. اما در واقعیت و روی سرورهای زیرِ بار (Production)، وارد کردن چند دستور کافی نیست. ادمین‌های حرفه‌ای برای محدود کردن دسترسی همیشه به اصول زیر پایبند هستند:

• رویکرد Whitelist به‌جای Blacklist:

لیست سیاه (مسدود کردن کشورهای پرخطر) برای سرورهای عمومی مثل وب‌سایت‌ها عالی است. اما اگر یک سرور دیتابیس حساس دارید، رویکرد منطقی این است که ترافیک کل دنیا را مسدود کنید (DROP ALL) و فقط به آی‌پی‌های خاص یا مثلا فقط به IP ایران بسنده کنید.

• دفاع چندلایه:

هیچ‌وقت تمام تخم‌مرغ‌های امنیتی خود را در سبدِ فایروال لینوکس نگذارید. ترکیب iptables در لایه شبکه، GeoIP در لایه وب‌سرور و استفاده از رمزنگاری قدرتمند (مثل کلیدهای SSH به‌جای پسورد)، امنیت سرور شما را تضمین می‌کند.

چالش مدیریت قوانین روی لبه تیغ!

آموزش بستن آی پی کشورها که در این مقاله خواندیم روی کاغذ جذاب است، اما در کسب‌وکار یک اشتباه تایپی در ترمینال هم می‌تواند دسترسی کل تیم برنامه‌نویسی را قطع کند یا باعث اختلال در سرویس‌دهی شود. ازطرفی، اگر سرور شما زیرساخت منعطفی نداشته باشد با هر ری‌استارتِ ناگهانی، ممکن است تمام قوانین ipset پاک شوند.

در محیط‌های تولیدی، مدیریت این قوانین روی یک زیرساخت ابری استاندارد فرایند را از زمین تا آسمان متفاوت و امن و پایدار می‌کند. به‌همین دلیل بسیاری از مدیران باتجربه، برای میزبانی امن پروژه‌های خود از گزینه‌های ابری مانند سرور مجازی (Cloud VPS) استفاده می‌کنند. چرا؟ چون در یک پلتفرم ابری مدرن، شما به امکاناتی مثل بک‌آپ‌گیری منظم (Snapshots)، کنسول اضطراری (VNC) و مانیتورینگ پیشرفته دسترسی دارید که ریسک قفل شدن سرور را به صفر می‌رساند.

ابر فردوسی زیرساختی برای میزبانی امن و مقیاس‌پذیر

اگر به‌دنبال بستری هستید که ترکیبِ دقت علمی و امنیت بالا را با خیالی آسوده روی آن تجربه کنید، ابر فردوسی همانی است که می‌تواند انتظارات شما را برآورده کند. در جدول زیر بخشی از این امکانات را می‌خوانید:

ویژگی vps ابری فردوسی	ارزش برای مدیران سیستم و دولوپرها
سخت‌افزار پرچمدار و ایزوله	استفاده از پردازنده‌های قدرتمند INTEL XEON و AMD EPYC همراه با رم DDR4 و هارد فوق‌سریع NVMe در محیطی کاملاً اختصاصی
پرداخت PAYG (ساعتی)	محاسبه هزینه فقط به‌ازای ساعات روشن بودن سرور. (پس‌از خاموشی، پولی برای CPU و RAM نمی‌دهید!)
کنسول VNC و مانیتورینگ	اگر در مسدودسازی IP کشورها اشتباه کردید و دسترسی قطع شد با VNC نجات پیدا می‌کنید.
بازارچه ابری (نصب با ۱ کلیک)	نصب خودکار وب‌سرورها، کنترل‌پنل‌ها (سی‌پنل، دایرکت‌ادمین) و اسکریپت‌هایی مثل وردپرس، داکر و جنگو
لوکیشن‌های برتر دیتاسنتر	میزبانی پایدار در ایران (دانشگاه فردوسی، برج میلاد و…)

برای اینکه کیفیت این زیرساخت را با خیال راحت لمس کنید، ابر فردوسی امکان دمو و تست رایگان را فراهم کرده است. همین حالا می‌توانید با دریافت ۱۰۰ هزار تومان اعتبار رایگان در پنل کاربری، سرور ابری خود را در چند ثانیه تحویل بگیرید و قوانین فایروال را بدون هیچ ریسک مالی تست کنید.

جمع‌بندی

همان‌طورکه دیدید اینترنت جای امنی نیست! و از لحظه‌ای که IP پابلیک سرور شما فعال می‌شود، اسکنرهای اتوماتیک از سراسر دنیا به‌دنبال پورت‌های باز می‌گردند. در این مقاله تلاش کردیم از روش‌های ابتدایی عبور کنیم و بستن آی پی کشورهای خارجی در لینوکس را به‌صورت اصولی توضیح دهیم.

فراموش نکنید که انتخاب روش (از iptables سبک و سریع گرفته تا GeoIP مبتنی بر دیتابیس جغرافیایی و nftables مدرن)، مستقیماً به نسخه لینوکس و هدف نهایی شما بستگی دارد. اما مهم‌تر از ابزار، معماری و زیرساختی است که برای میزبانی انتخاب می‌کنید.

شما چطور؟ آیا تجربه‌ای داشته‌اید که در زمان نوشتن قوانین فایروال، به‌اشتباه دسترسی خودتان را قطع کنید؟ یا فکر می‌کنید برای محدود کردن دسترسی بر اساس کشور روش بهتری هم وجود دارد؟ تجربیات و چالش‌های خود را در بخش نظرات همین پست برای ما بنویسید تا درباره آن‌ها باهم گپ بزنیم.

منابع:
Man7 | jmorano.moretrix | dev.maxmind | nftables | docs.redhat

سؤالات متداول