ファイルを読み取るためのシェルスクリプト

Question

IPアドレスで構成されたファイルを読み込むためのシェルスクリプトを作成し、iptablesの助けを借りてブロックします。それはうまく動作しますが、スクリプトを2回実行すると、ルールが再度（重複して）書き込まれます。 IPがすでにブロックされているかどうかをチェックし、それ以外のブロックを無視するようにしたい。ここでのスクリプトは次のとおりです。初めてのスクリプトの実行後に

#!/bin/bash 
ipadds="/home/asad/Downloads/blacklist" 
dropit=$(grep -Ev "^#" $ipadds) 
for i in $dropit; do 
iptables -A INPUT -s $i -j DROP 
iptables -A FORWARD -s $i -j DROP 
done 

出力：二度目のスクリプトの実行後に

root@ubuntu:/home/asad/Downloads# iptables -L 
Chain INPUT (policy ACCEPT) 
target  prot opt source    destination 
DROP  all -- 192.168.248.2  anywhere 
DROP  all -- 192.168.232.20  anywhere 
DROP  all -- 192.168.232.5  anywhere 
DROP  all -- 192.168.232.190  anywhere 
Chain FORWARD (policy ACCEPT) 
target  prot opt source    destination 
DROP  all -- 192.168.248.2  anywhere 
DROP  all -- 192.168.232.20  anywhere 
DROP  all -- 192.168.232.5  anywhere 
DROP  all -- 192.168.232.190  anywhere 
Chain OUTPUT (policy ACCEPT) 
target  prot opt source    destination 

出力：この重複を避けるために、どのように

root@ubuntu:/home/asad/Downloads# iptables -L 
Chain INPUT (policy ACCEPT) 
target  prot opt source    destination 
DROP  all -- 192.168.248.2  anywhere 
DROP  all -- 192.168.232.20  anywhere 
DROP  all -- 192.168.232.5  anywhere 
DROP  all -- 192.168.232.190  anywhere 
DROP  all -- 192.168.248.2  anywhere 
DROP  all -- 192.168.232.20  anywhere 
DROP  all -- 192.168.232.5  anywhere 
DROP  all -- 192.168.232.190  anywhere 
Chain FORWARD (policy ACCEPT) 
target  prot opt source    destination 
DROP  all -- 192.168.248.2  anywhere 
DROP  all -- 192.168.232.20  anywhere 
DROP  all -- 192.168.232.5  anywhere 
DROP  all -- 192.168.232.190  anywhere 
DROP  all -- 192.168.248.2  anywhere 
DROP  all -- 192.168.232.20  anywhere 
DROP  all -- 192.168.232.5  anywhere 
DROP  all -- 192.168.232.190  anywhere 
Chain OUTPUT (policy ACCEPT) 
target  prot opt source    destination 

？すべてのヘルプは

Answer 1

#!/bin/bash 
ipadds=/home/asad/Downloads/blacklist 
grep -v "^#" $ipadds | while read i; do 
if ! iptables -nL INPUT | grep -Fq "$i" ; then 
    iptables -A INPUT -s "$i" -j DROP 
    iptables -A FORWARD -s "$i" -j DROP 
fi 
done 

か（多分これはあなたに少し違いが）してください

#!/bin/bash 
ipadds=/home/asad/Downloads/blacklist 
while read i; do 
if ! iptables -nL INPUT | grep -Fq "$i" ; then 
    iptables -A INPUT -s "$i" -j DROP 
    iptables -A FORWARD -s "$i" -j DROP 
fi 
done < <(grep -v "^#" $ipadds) 

grepため-Eフラグは、この場合に必要とされていないことに注意してください。ホスト名ではなくIPを取得するには、-nフラグをiptables -Lに渡すことが重要です。パフォーマンスも向上します。あなたのINPUTチェーンとFORWARDチェーンは同期していると仮定していますので、そのうちの1つだけをチェックします。これが当てはまらない場合は、両方を確認する必要があります。

上記のスクリプトの正確なセマンティクスは、「既にINPUTチェーン内のどこにでも言及されていれば、新しい候補IPを挿入しないでください」です。これは「既にブロックされている場合」とは少し異なります。 iptables -Cに基づくより効率的なソリューションは、特定のルールを探しますが、チェーン内のIPの他の記述には適していません。いずれのアプローチが望ましいシナリオについて考えることができます。

iptablesチェーンにたくさんのIPがある場合は、チェーン全体をスキャンして、候補IPがすでに存在するかどうかを調べると効率が悪い可能性があります。これが問題になる場合は、より効率的なIPルックアップのために外部インデックスを構築するさまざまな方法がありますが、システム全体が維持するのが難しくなるため、外部インデックスを使用しないで実験を開始します。

Answer 2

あなたは

#!/bin/bash 

ipadds="/home/asad/Downloads/blacklist" 

while IFS='' read -r 
do 
    # check if the rule already exists - if not add it - and 
    # silently ignore warnings for rules that dont exist 
    if ! iptables -C INPUT -s "$REPLY" -j DROP 2> /dev/null 
    then 
     iptables -A INPUT -s "$REPLY" -j DROP 
    fi 

    if ! iptables -C FORWARD -s "$REPLY" -j DROP 2> /dev/null 
    then 
     iptables -A FORWARD -s "$REPLY" -j DROP 
    fi 
# Please note proper syntax for process substitution 
done < <(grep -Ev "^#" $ipadds)