Блокирую китайские ip, можно ли сразу блочить подсети 175.0.0.0/8 или там может попасться не только Китай?

Question

[Shing]

Сервер атакуют с кучи китайских, других азиатских ip. Айпишников много. Можно ли попробовать сразу банить 175.0.0.0/8? Или это совсем не аккуратно и там могут попасться СНГ сегмент?

Сейчас вроде IP уже перепродаются мощно и у интернет провайдеров в РФ встречаются ip которые определяются как Европейские и т.п.

Comments

[Shing]

Sha644, на syn flood SYN_RECV он не настроен пока

[Николай]

Россия и Китай находятся в разных зонах интернет-регуляторов (Россия в европейском RIPE, а Китай в азиатском APNIC), поэтому пересечение IP маловероятно.

Не все адреса на 175 китайские, навскидку взятый адрес 175.33.33.33 вообще австралийский (Австралия тоже относится к азиатской зоне). Но все адреса на 175 относятся к азиатской зоне, поэтому там не должно быть российских (российскими они могут быть в том случае, если какая-то международная компания из азиатской страны использует часть своих адресов в России, российские компании должны регистрировать свои адреса в европейской зоне).

[Николай]

И все страны СНГ тоже относятся к европейской зоне RIPE, как и Россия, даже среднеазиатские вроде Узбекистана и Киргизии, поэтому их адреса тоже не должны пересекаться с китайскими.

[Николай]

Оказалось даже, что на 175 начинается единственный существующий северокорейский диапазон IP 175.45.176.0/22 :)

Answer 1

[Денис Юрьев]

Сервер атакуют с кучи китайских, других азиатских ip.

есть чудесные базы для вашей задачи:

• https://lite.ip2location.com/database/ip-country
  
• https://dev.maxmind.com/geoip/geoip2/geolite2

если атака брутфорсом sshd, то вовсе file2ban вам в помощь

у интернет провайдеров в РФ встречаются ip которые определяются как Европейские и т.п.

пруф?

UPD рецепт для ленивых

https://www.ip2location.com/free/visitor-blocker
внизу на странице отличная форма
выбираем страны которые хотим заблокировать, в Output format выбираем linux iptables, и жмем скачать

Comments

[Shing]

если атака брутфорсом sshd, то вовсе file2ban вам в помощь

syn flood SYN_RECV

[Денис Юрьев]

Shing, дописал ответ

вообще атаке syn flood SYN_RECV уже 4 года, а то и более, победите лень и нагуглите