前置き

こんにちは、キタです。

普段インフラエンジニアとしてサーバーの運用保守をしていて、
いきなり海外IPからの大量アクセスが来る現象にキレたことはないでしょうか？
私はあります。
ちょっとムキっとなります。

最近はCloudflareや、攻撃遮断くんなどのWAFを前段に配置していて、そこでブロックされる場合もありますが
構成によってはサーバー側でIPを指定してブロックしなければならない場面もあるかと思います。

既知の人もいるかと思いますが、Linuxにはセキュリティ制御機構が割とあり、
初心者の方は「どの方法を使えばいいの？」と迷うことも多いです。（自分がそうだった）

本記事は、そんな「結局どれ使ったらええねん」と思っている同志の方向けの記事です。

結論

結論：手軽にIPブロックするなら firewalld や iptables または nftables でいいと思います。

まずはブロック手法をそれぞれあげていきましょう。

RHEL、CentOS、Fedora などで使われるファイアウォール管理ツールです。
最近のAlmaではデフォルトで入っていないことが多くて悲しくなります…(どのみち止めますが)
特徴としてiptables や nftables を内部で利用し、ゾーンごとの管理が可能となっています。

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" reject'
firewall-cmd --reload

適用範囲: ネットワークパケット

古き良きパケットのフィルタリングを行うツールで、Linuxカーネルの netfilter が利用されています。
特徴として、細かいルール設定が可能です。ただし、次に紹介するnftables へ移行が推奨されています。

iptables -A INPUT -s 192.168.1.100 -j DROP
service iptables save

適用範囲: ネットワークパケット

先ほど紹介した iptables の後継として開発され、パフォーマンスや柔軟性が向上しています。
特徴として 1つのルールセットでIPv4/IPv6を扱えて、柔軟な管理が可能です。

nft add rule ip filter input ip saddr 192.168.1.100 drop

適用範囲: ネットワークパケット

OS内のルーティングテーブルを操作して、特定のIPの通信を無効化してくれます。
こちらは一時的な対策向けで、細かい制御にはあまり向かない印象です。

route add -host 192.168.1.100 reject

適用範囲: OSルーティング

こちらは iptables や nftables と組み合わせて、大量のIPを高速にブロックしてくれます。
動的にIPリストを管理できるため、DDoS対策などに有効です。

ipset create blacklist hash:ip timeout 3600
ipset add blacklist 192.168.1.100
iptables -I INPUT -m set --match-set blacklist src -j DROP

適用範囲: iptables や nftables と連携して利用

libwrap を利用し、特定のIPからの接続を許可・拒否する仕組みです。
正直OSのブロック機構かと言われると微妙ですが一応リストにあげておきました。
特徴としてはSSHやFTPなどの特定サービスに適用可能です。ただし、近年ではあまり見かけません。

## /etc/hosts.deny に設定
ALL: 192.168.1.100

適用範囲: TCPベースの特定のサービス

最後に表でまとめてみました。

方法	メリット	デメリット	適用範囲
firewalld	RHEL系の搭載、ゾーン管理が簡単	仕組みが少し難しい	パケットフィルタリング
iptables	細かいルール設定が可能	nftables に置き換え推奨	パケットフィルタリング
nftables	高パフォーマンス、柔軟なルール管理	設定が難しい	パケットフィルタリング
route	シンプルで分かりやすい	一時的な対策向け	ルーティング
ipset	大量のIPを高速に処理可能	iptables や nftables との併用が必要	パケットフィルタリング
TCP Wrappers	シンプルなサービス単位の制御	既に非推奨	TCPベースの特定サービス

「基本は firewalld / iptables / nftables」
「大量のIPをブロックするなら ipset」
「一時的なブロックなら route」
といった感じでしょうか。

これ以外にも、OSの制御機構であれば SELinux とかも有名ですよね。

正直OSベースで管理するより、それより前段で制御できる構成の方が望ましいと思うので、
今後使う機会は減りそうですが、少しでも参考になれば幸いです。

※ここに無いものや、内容が間違っていればご指摘いただけますと幸いです。

ではでは～