Blocco per paese

Attivarlo#

In Impostazioni › Agente, Paesi bloccati: cerca un paese per nome e aggiungilo; ogni paese bloccato compare come un'etichetta che puoi rimuovere. L'impostazione vale per tutti i server dell'organizzazione. Dalla mappa degli attacchi nella Panoramica, Blocca paese blocca un paese in un solo passaggio (owner e admin, da Pro in su), e compare in Attività con Annulla.

Solo su un server#

Nella pagina di un server, scheda Rete, Paesi bloccati solo su questo server: la stessa ricerca per paese, per i paesi bloccati su quel server in aggiunta a quelli bloccati su tutti i server, che compaiono sopra con un link a Impostazioni › Agente. Owner e admin li cambiano, da Basic in su (su Starter una lista rimasta da un piano a pagamento si vede ma non viene applicata); i membri li vedono. Il server riceve le due liste insieme, quindi non gli serve nient'altro rispetto alla lista dell'organizzazione (agent 1.0.33 o successivo, ipset), e valgono le stesse eccezioni. Dalla mappa degli attacchi, Blocca paese può anche bloccare un paese solo su uno dei server che ha attaccato. AutoMode e la modalità di emergenza bloccano i paesi solo su tutti i server e non cambiano mai la lista di un singolo server.

Cosa serve sul server#

• Un database dei paesi. Dalla versione 1.0.33 l'agente lo scarica dalla dashboard appena un paese viene bloccato, e solo allora, in /etc/infrafence/geoip-country.mmdb, e cerca una nuova edizione al massimo una volta al giorno. Un file scaricato viene controllato prima di sostituire quello in uso; se il download non riesce l'agente tiene il file precedente e riprova più tardi. Per usare un tuo database in formato MaxMind imposta GEOIP_DB_PATH: in quel caso non viene scaricato nulla. Gli agenti precedenti leggono solo /etc/infrafence/GeoLite2-Country.mmdb, installato a mano.
• ipset, per bloccare interi paesi sul firewall.

Dati dei paesi: IP to Country Lite di DB-IP, con licenza CC BY 4.0.

Come funziona#

1. Sul firewall: ogni rete del paese, presa dal database, finisce in un ipset chiamato infrafence-geo-<code> (per esempio infrafence-geo-cn), scartato dalla catena INFRAFENCE. Da quel paese non arriva nulla al server. Ogni set è dimensionato sul suo paese, quindi anche il più grande, gli Stati Uniti (circa 155.000 reti), viene caricato per intero (agente 1.0.33 e successivi).
2. Nei log: un indirizzo di un paese bloccato che compare nei log di SSH, web, posta, database o FTP viene bannato al primo tentativo.

Senza ipset funziona solo il secondo livello, e il log riporta: country blocks NOT applied at kernel level (falling back to reactive per-IP blocking).

Eccezioni#

Gli indirizzi e le reti in whitelist non vengono mai bloccati per paese, e nemmeno l'indirizzo della dashboard e gli indirizzi del server stesso. Le sessioni SSH aperte quando il blocco di un paese viene applicato continuano a funzionare: i loro indirizzi restano fuori dal set del paese (un nuovo login da quel paese viene bloccato). In modalità monitor non viene applicato nessun set per paese.

Prima di bloccare un paese, ricorda che anche clienti e colleghi in viaggio lì perdono l'accesso. La modalità emergenza e AutoMode non bloccano mai un paese da cui arrivano login SSH.