centos - Cloudflare - iptables 恢复真实 ips 以限制每个 ip CentOS 7 的连接

Question

我使用的是 CentOS 7。

在使用 Cloudflare 在
后端服务器，然后通过 iptables 限制真实用户 IP 连接？

因为现在它不可能，因为它只会限制 Cloudflares IP 而不是用户 IP。

已经用 试过了mod_cloudflare 但没有成功的结果。

示例 :

netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

将打印所有 Cloudflare IP，而不是真正的访客 IP。

我需要它，因为 僵尸网络只是简单地从网站请求“合法” URL，但是僵尸网络的速度非常快
网络服务器无法处理它。

希望得到一些帮助并希望您理解我的问题/问题。

Answer 1

mod_cloudflare 是为 apache web 服务器设计的一个模块。它实际上会为您的网站访问者显示真实的 IP 地址，但这仅发生在 apache 访问日志中，而不是使用 netstat 出现在您的 linux 系统上。命令。如果您使用 netstat它将显示来自 CloudFlare 的 IP 地址。

mod_cloudflare 使用一些特定的 HTTP header (CF-Connecting-IP) 来为您的访问者显示真实的 IP 地址。

有关 HTTP header 的更多信息在这里:
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers

您应该尝试从 Web 服务器日志中提取您需要的信息，而不是使用 netstat。

更新:

您可以使用带有使用 Cloudflare API 的功能的 CSF 防火墙，并将 IP block 直接添加到 Cloudflare，而不是阻止服务器上的 IP。正如我之前所说， mod_cloudflare 将在 Web 服务器日志中显示真实 ip，而在服务器上，您将始终看到来自 Cloudflare 的 ip 地址。 CSF 所做的是使用 mod_cloduflare ，从 Web 服务器日志中提取真实 IP 地址并使用 Cloudflare API 它直接在 Cloudflare 防火墙中对这些 IP 地址或范围添加 block 。

您可以在此处阅读有关 CSF 的更多信息(第 27 章):
https://download.configserver.com/csf/readme.txt

请记住，Cloudflare 的防火墙中有 1000 个 IP 地址或范围的标准限制(至少对于免费帐户而言)。当您达到 1000 时，您必须删除旧条目以便添加更多条目。