Ca marche ! "mondedie.fr ftw"
Alors je vais mettre la procédure en dessous, y'a surement quelques lurkeurs fous qui voudront tenter le coup...
Donc en préambule, ça tourne sur un petit kim 7.04/64 bien à jours, pas testé sur dedibox. Ça date de ce matin, j'ai aucun recul la dessus.
Juste eu un lock de rtorrent à force de reboot, vite résolu avec la manip' habituelle.
On commence par regarder notre kernel:
uname -r
chez moi ça donnait: 3.10.9-xxxx-grs-ipv6-64
Ca ne fonctionne pas avec un kernel "ovh", il faut passer sur du standard debian.
Pour voir ce qu'on a de dispo:
aptitude search linux-image
Il propose plein de truc:
v linux-image -
p linux-image-2.6-amd64 - Linux for 64-bit PCs (dummy package)
i linux-image-3.2.0-4-amd64 - Linux 3.2 for 64-bit PCs
p linux-image-3.2.0-4-amd64-dbg - Debugging symbols for Linux 3.2.0-4-amd64
p linux-image-3.2.0-4-rt-amd64 - Linux 3.2 for 64-bit PCs, PREEMPT_RT
p linux-image-3.2.0-4-rt-amd64-dbg - Debugging symbols for Linux 3.2.0-4-rt-amd64
p linux-image-amd64 - Linux for 64-bit PCs (meta-package)
p linux-image-rt-amd64 - Linux for 64-bit PCs (meta-package), PREEMPT_RT
J'ai suivi le tuto d'origine en choisissant => linux-image-3.2.0-4-amd64
donc c'est parti:
cd /etc/grub.d/
Un backup même si je connais pas le process de retour en arrière
mv 06_OVHkernel 11_OVHkernel
on installe le nouveau kernel:
aptitude install linux-image-3.2.0-4-amd64
On met à jour grub:
grub-mkconfig
update-grub2
et on reboot en serrant les fesses:
reboot
une fois redémarré, on vérifie
uname -r
là je me suis retrouvé avec un kernel "rt": 3.2.0-4-rt-amd64
j'ai été aux nouvelles, ça a pas l'air d'être un soucis, bref...
https://fr.wikipedia.org/wiki/Linux-rt
On va pouvoir attaquer l'histoire geoip
On installe les paquets (un mix de deux tutos différents). Je l'ai fais en deux fois sinon ça posait un soucis.
apt-get install dkms module-assistant xtables-addons-common geoip-database libgeoip1 libtext-csv-xs-perl
apt-get install xtables-addons-dkms linux-headers-$(uname -r)
On vérifie que c'est ok:
dkms status xtables-addons
réponse:
xtables-addons, 1.42, 3.2.0-4-rt-amd64, x86_64: installed
On crée le répertoire
mkdir /usr/share/xt_geoip
On se déplace dedans
cd /usr/share/xt_geoip
On télécharge le fichier
wget http://www.ratbox.nl/md/geoip-dl-build.tar.gz
On le décompresse
tar xvf geoip-dl-build.tar.gz
On l’exécute
./xt_geoip_dl
Si cela donne un message d'erreur on fait ceci:
/usr/bin/perl -MCPAN -e'install Text::CSV_XS'
On exécute l'autre fichier
./xt_geoip_build -D . *.csv
On efface les fichiers inutiles
rm -rf geoip-dl-build.tar.gz
normalement on doit être bon, on va balancer une règle iptables pour kicker la Chine, la Russie et Taiwan (on est limité à 10 pays maximum)
Ca marche avec des codes à deux lettres,
Liste complète ici, bloquez pas n'importe quoi non plus !
La règle (moi je bloque tout ça...):
iptables -A INPUT -m geoip --src-cc CN,BR,IN,RU,PL,TH,TW,KR,UA -j DROP
Si pas de message d'erreur c'est que tout c'est bien passé.
on vérifie:
iptables -L
Vous devez avoir ça:
DROP all -- anywhere anywhere -m geoip --source-country CN,TW,RU
donc là les affreux passent plus mais si on reboot la machine la règle est perdu, pour sauvegarder tout ça:
apt-get install iptables-persistent
L'install pose 2 questions pour sauvegarder les regles en cours, on répond "yes" et ça fini
Pour sauvegarder de la même façon des règles ajouté plus tard, il faudra faire:
iptables-save > /etc/iptables/rules.v4
rules.4 et rules.v6 sont lu à chaque démarrage pour restaurer les régles iptables.
J'ai aussi un script de mise à jours mensuel des bases GeoIP que j'ai adapté au truc, si quelqu’un était intéressé faites moi signe.
C'est important d'être à jour la dessus. Exemple, quand ovh a lancé son adsl, ils nous ont refilés d'anciennes IP Russes et c'était pas la joie avec les sites pas à jours donc avec un firewall...
Pour les aventuriers, cassez pas tout quand même, je décline toutes responsabilités
Ex.
