Blocage par pays

L'activer#

Dans Paramètres › Agent, Pays bloqués : recherchez un pays par son nom et ajoutez-le ; chaque pays bloqué apparaît sous forme d'étiquette que vous pouvez retirer. Le paramètre s'applique à tous les serveurs de l'organisation. Depuis la carte des attaques de la Vue d'ensemble, Bloquer le pays bloque un pays en un clic (propriétaires et administrateurs, à partir de Pro), et apparaît dans Activité avec Annuler.

Sur un seul serveur#

Sur la page d'un serveur, onglet Réseau, Pays bloqués sur ce serveur uniquement : la même recherche de pays, pour les pays bloqués sur ce serveur en plus de ceux bloqués sur tous les serveurs, affichés au-dessus avec un lien vers Paramètres › Agent. Les propriétaires et les administrateurs les modifient, à partir de Basic (sur Starter, une liste restée d'une offre payante est affichée mais pas appliquée) ; les membres les voient. Le serveur reçoit les deux listes ensemble : il n'a besoin de rien de plus que pour la liste de l'organisation (agent 1.0.33 ou plus récent, ipset), et les mêmes exceptions s'appliquent. Depuis la carte des attaques, Bloquer le pays peut aussi bloquer un pays uniquement sur l'un des serveurs qu'il a attaqués. AutoMode et le mode d'urgence ne bloquent des pays que sur tous les serveurs et ne modifient jamais la liste propre d'un serveur.

Ce dont le serveur a besoin#

• Une base de pays. À partir de la version 1.0.33, l'agent la télécharge depuis le tableau de bord dès qu'un pays est bloqué, et seulement alors, dans /etc/infrafence/geoip-country.mmdb, et cherche une nouvelle édition au plus une fois par jour. Un fichier téléchargé est vérifié avant de remplacer celui en service ; si le téléchargement échoue, l'agent garde le fichier précédent et réessaie plus tard. Pour utiliser votre propre base au format MaxMind, définissez GEOIP_DB_PATH : rien n'est alors téléchargé. Les agents plus anciens lisent seulement /etc/infrafence/GeoLite2-Country.mmdb, installée à la main.
• ipset, pour bloquer des pays entiers au niveau du pare-feu.

Données des pays : IP to Country Lite de DB-IP, sous licence CC BY 4.0.

Fonctionnement#

1. Au niveau du pare-feu : chaque réseau du pays, tiré de la base, est placé dans un ipset nommé infrafence-geo-<code> (par exemple infrafence-geo-cn), rejeté depuis la chaîne INFRAFENCE. Rien de ce pays n'atteint le serveur. Chaque set est dimensionné pour son pays : même le plus grand, les États-Unis (environ 155 000 réseaux), est chargé en entier (agent 1.0.33 et ultérieur).
2. Dans les journaux : une adresse d'un pays bloqué qui apparaît dans les journaux SSH, web, de messagerie, de base de données ou FTP est bannie dès sa première tentative.

Sans ipset, seule la seconde couche fonctionne, et le journal indique : country blocks NOT applied at kernel level (falling back to reactive per-IP blocking).

Exceptions#

Les adresses et réseaux en liste blanche ne sont jamais bloqués par pays, pas plus que l'adresse du tableau de bord et les adresses du serveur lui-même. Les sessions SSH ouvertes au moment où le blocage d'un pays est appliqué continuent de fonctionner : leurs adresses restent hors de l'ensemble du pays (une nouvelle connexion depuis ce pays est bloquée). En mode surveillance, aucun ensemble par pays n'est appliqué.

Avant de bloquer un pays, pensez que les clients et collègues qui s'y rendent perdent eux aussi l'accès. Le mode urgence et AutoMode ne bloquent jamais un pays d'où proviennent des connexions SSH.