Bloqueo por país

Activarlo#

En Ajustes › Agente, Países bloqueados: busca un país por su nombre y añádelo; cada país bloqueado aparece como una etiqueta que puedes quitar. El ajuste se aplica a todos los servidores de la organización. Desde el mapa de ataques del Resumen, Bloquear país bloquea un país en un paso (propietarios y administradores, Pro y superiores), y aparece en Actividad con Deshacer.

Solo en un servidor#

En la página de un servidor, pestaña Red, Países bloqueados solo en este servidor: la misma búsqueda de países, para los países bloqueados en ese servidor además de los bloqueados en todos los servidores, que aparecen encima con un enlace a Ajustes › Agente. Los propietarios y administradores los cambian, en Basic y superiores (en Starter una lista que quedó de un plan de pago se muestra pero no se aplica); los miembros los ven. El servidor recibe las dos listas juntas, así que no necesita nada más que para la lista de la organización (agente 1.0.33 o posterior, ipset), y se aplican las mismas excepciones. Desde el mapa de ataques, Bloquear país también puede bloquear un país solo en uno de los servidores que atacó. AutoMode y el modo de emergencia solo bloquean países en todos los servidores y nunca cambian la lista propia de un servidor.

Qué necesita el servidor#

• Una base de datos de países. Desde la versión 1.0.33 el agente la descarga del panel en cuanto se bloquea un país, y solo entonces, en /etc/infrafence/geoip-country.mmdb, y busca una edición nueva como máximo una vez al día. Un archivo descargado se comprueba antes de sustituir al que está en uso; si la descarga falla, el agente conserva el archivo anterior y lo vuelve a intentar más tarde. Para usar tu propia base de datos en formato MaxMind, define GEOIP_DB_PATH: entonces no se descarga nada. Los agentes anteriores solo leen /etc/infrafence/GeoLite2-Country.mmdb, instalada a mano.
• ipset, para bloquear países enteros en el firewall.

Datos de países: IP to Country Lite de DB-IP, con licencia CC BY 4.0.

Cómo funciona#

1. En el firewall: todas las redes del país, tomadas de la base de datos, van a un ipset llamado infrafence-geo-<code> (por ejemplo infrafence-geo-cn), descartado desde la cadena INFRAFENCE. Nada de ese país llega al servidor. Cada set se dimensiona según su país, así que incluso el más grande, Estados Unidos (unas 155.000 redes), se carga entero (agente 1.0.33 y posteriores).
2. En los logs: una dirección de un país bloqueado que aparece en los logs de SSH, web, correo, base de datos o FTP se bloquea en su primer intento.

Sin ipset solo funciona la segunda capa, y el log dice: country blocks NOT applied at kernel level (falling back to reactive per-IP blocking).

Excepciones#

Las direcciones y redes de la lista blanca nunca se bloquean por país, y tampoco la dirección del panel ni las direcciones del propio servidor. Las sesiones SSH abiertas cuando se aplica el bloqueo de un país siguen funcionando: sus direcciones quedan fuera del conjunto del país (un nuevo inicio de sesión desde ese país se bloquea). En modo monitor no se aplica ningún conjunto por país.

Antes de bloquear un país, recuerda que los clientes y compañeros que viajen allí también pierden el acceso. El modo de emergencia y AutoMode nunca bloquean un país desde el que llegan inicios de sesión SSH.