Bloqueio por país

Como ativar#

Em Configurações › Agente, Países bloqueados: busque um país pelo nome e adicione; cada país bloqueado aparece como uma etiqueta que você pode remover. A configuração vale para todos os servidores da organização. No mapa de ataques da Visão geral, Bloquear país bloqueia um país em um passo (proprietários e administradores, Pro e superiores), e aparece em Atividade com Desfazer.

Só em um servidor#

Na página de um servidor, aba Rede, Países bloqueados só neste servidor: a mesma busca de países, para os países bloqueados nesse servidor além dos bloqueados em todos os servidores, que aparecem acima com um link para Configurações › Agente. Proprietários e administradores os alteram, no Basic e superiores (no Starter uma lista que ficou de um plano pago aparece, mas não é aplicada); membros os veem. O servidor recebe as duas listas juntas, então não precisa de nada além do que já precisa para a lista da organização (agente 1.0.33 ou mais recente, ipset), e valem as mesmas exceções. No mapa de ataques, Bloquear país também pode bloquear um país só em um dos servidores que ele atacou. O AutoMode e o modo de emergência bloqueiam países só em todos os servidores e nunca alteram a lista própria de um servidor.

Do que o servidor precisa#

• Um banco de dados de países. A partir da versão 1.0.33 o agente o baixa do painel assim que um país é bloqueado, e só então, em /etc/infrafence/geoip-country.mmdb, e procura uma edição nova no máximo uma vez por dia. Um arquivo baixado é verificado antes de substituir o que está em uso; se o download falhar, o agente mantém o arquivo anterior e tenta de novo mais tarde. Para usar seu próprio banco no formato MaxMind, defina GEOIP_DB_PATH: nesse caso nada é baixado. Agentes anteriores só leem /etc/infrafence/GeoLite2-Country.mmdb, instalado manualmente.
• ipset, para bloquear países inteiros no firewall.

Dados de países: IP to Country Lite da DB-IP, licenciado sob CC BY 4.0.

Como funciona#

1. No firewall: cada rede do país, tirada do banco de dados, entra em um ipset chamado infrafence-geo-<code> (por exemplo infrafence-geo-cn), descartado a partir da cadeia INFRAFENCE. Nada desse país chega ao servidor. Cada set é dimensionado para o seu país, então até o maior, os Estados Unidos (cerca de 155.000 redes), é carregado por inteiro (agente 1.0.33 e posteriores).
2. Nos logs: um endereço de um país bloqueado que aparece nos logs de SSH, web, e-mail, banco de dados ou FTP é banido na primeira tentativa.

Sem ipset, só a segunda camada funciona, e o log diz: country blocks NOT applied at kernel level (falling back to reactive per-IP blocking).

Exceções#

Endereços e redes da whitelist nunca são bloqueados por país, nem o endereço do painel e os endereços do próprio servidor. Sessões SSH abertas quando o bloqueio de um país é aplicado continuam funcionando: seus endereços ficam fora do set do país (um novo login desse país é bloqueado). Em modo monitor, nenhum set de países é aplicado.

Antes de bloquear um país, lembre-se de que clientes e colegas que viajam para lá também perdem o acesso. O modo de emergência e o AutoMode nunca bloqueiam um país de onde vêm logins SSH.