VPS通過(guò)iptables設置只允許cloudflare的IP訪(fǎng)問(wèn)

很多使用國外VPS的朋友都使用過(guò)cloudflare，可以防止壞人來(lái)?yè)v亂，可是有些時(shí)候還是會(huì )被掃到站源IP，今天給大家分享一下如何設置iptables來(lái)實(shí)現你的VPS只允許cloudflare的IP訪(fǎng)問(wèn)。iptables設置白名單允許Cloudflare訪(fǎng)問(wèn)。

參考官方教程：

https://developers.cloudflare.com/fundamentals/get-started/setup/allow-cloudflare-ip-addresses/

首先確認你已經(jīng)安裝iptables和ip6tables

創(chuàng )建一個(gè)鏈

iptables -N CLOUDFLARE
ip6tables -N CLOUDFLARE

讓INPUT引用

iptables -A INPUT -j CLOUDFLARE
ip6tables -A INPUT -j CLOUDFLARE

然后把CF的IP加進(jìn)鏈里

for ip in `curl -s https://www.cloudflare.com/ips-v4`;do
iptables  -A CLOUDFLARE -p tcp -m multiport --dports http,https -s $ip -j ACCEPT
done
for ip in `curl -s https://www.cloudflare.com/ips-v6`;do
ip6tables  -A CLOUDFLARE -p tcp -m multiport --dports http,https -s $ip -j ACCEPT
done

不允許其他IP訪(fǎng)問(wèn)

iptables -A INPUT -p tcp -m multiport --dport http,https -j DROP
ip6tables -A INPUT -p tcp -m multiport --dport http,https -j DROP

搞過(guò)一次之后，也就是定時(shí)執行的腳本如下
清空鏈，然后重新加一遍IP
以下保存為腳本，定時(shí)執行即可

#先刪掉"不允許所有"，避免在下面命令執行期間GG
iptables -D INPUT -p tcp -m multiport --dport http,https -j DROP
ip6tables -D INPUT -p tcp -m multiport --dport http,https -j DROP
#清除規則(舊的CF IP)
iptables -F CLOUDFLARE
ip6tables -F CLOUDFLARE
#添加CF IP，下面可以對curl的結果做一次判斷，可以避免網(wǎng)絡(luò )問(wèn)題可能出現的問(wèn)題，自己寫(xiě)
for ip in `curl -s https://www.cloudflare.com/ips-v4`;do
iptables -A CLOUDFLARE -s $i -j ACCEPT
done
for ip in `curl -s https://www.cloudflare.com/ips-v6`;do
ip6tables -A CLOUDFLARE -s $i -j ACCEPT
done
mkdir -p /etc/iptables/
iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6
#禁用其他IP
iptables -A INPUT -p tcp -m multiport --dport http,https -j DROP
ip6tables -A INPUT -p tcp -m multiport --dport http,https -j DROP

不想用了，清空上面設置過(guò)的規則

iptables -F CLOUDFLARE
ip6tables -F CLOUDFLARE
iptables -D INPUT -j CLOUDFLARE
ip6tables -D INPUT -j CLOUDFLARE
iptables -X CLOUDFLARE
ip6tables -X CLOUDFLARE
iptables -D INPUT -p tcp --dport http,https -j DROP
ip6tables -D INPUT -p tcp --dport http,https -j DROP
> /etc/iptables/rules.v4
> /etc/iptables/rules.v6

補上iptables規則持久化的設置，以免重啟后就無(wú)了

#保存規則
mkdir -p /etc/iptables/
iptables-save > /etc/iptables/rules.v4
ip6tables-save > /etc/iptables/rules.v6

#引用規則
iptables-restore < /etc/iptables/rules.v4
ip6tables-restore < /etc/iptables/rules.v6

以上保存規則設置到關(guān)機執行的命令(也可以不用)，引用規則設置到開(kāi)機執行的命令?；蛘呔W(wǎng)卡關(guān)閉和啟動(dòng)。
還有，上面整完新的CF IP后要保存一下規則(我已經(jīng)寫(xiě)上去了)