背景: 勒索病毒事件讓重視到網(wǎng)絡(luò)安全這塊,由于業(yè)務(wù)只需要為國(guó)內(nèi)范圍提供服務(wù),為了減少風(fēng)險(xiǎn)想到將服務(wù)器僅限對(duì)國(guó)內(nèi)開(kāi)啟訪問(wèn)權(quán)限,其它國(guó)家都將禁止訪問(wèn)
由于是 Windows Server 不像寶塔直接帶有防火墻功能,只能自己想辦法
第一時(shí)間想到 聯(lián)系阿里云服務(wù)商提供解決方案 — (無(wú)果)
要么讓你花錢買防火墻 要么你自己解決
云提供商的 [安全組規(guī)則] 是不提供MAC地址過(guò)濾,也不提供訪問(wèn)日志的
明明輕而易舉能做到事, 就是不做為!
回正題,經(jīng)過(guò)搜尋解決方案,最終找到了一種可行辦法
使用Windows自帶防火墻,配置規(guī)則達(dá)到目標(biāo)
- 第1步 獲取國(guó)內(nèi)ip地址段
這個(gè)網(wǎng)絡(luò)上比較多,卻存在ip地址量的不同
有6000條+的國(guó)內(nèi)ip, 也有8000條+的, 最終選擇了8000+的版本
網(wǎng)站: https://www.ipdeny.com
下載IP地址段文件
下載鏈接: http://www.ipdeny.com/ipblocks/data/countries/cn.zone
這里不太確定, 如果網(wǎng)友你發(fā)現(xiàn)有更好的庫(kù), 歡迎你的回復(fù)
- 第2步 禁止全部ip地址訪問(wèn)
防火墻這里要設(shè)置好,默認(rèn)阻止不匹配的入站連接, 其實(shí)出站也能配置,可以自由發(fā)揮了
- 第3步 允許國(guó)內(nèi)ip地址訪問(wèn)
要次大量的ip地址導(dǎo)入到防火墻規(guī)則也遇到了問(wèn)題,可是8000多條,一個(gè)一個(gè)的加能加到什么時(shí)候呢
想到了使用PowerShell, 不過(guò)PowerShell這里還有一個(gè)坑
先給代碼
$url = "https://www.ipdeny.com/ipblocks/data/countries/cn.zone" # 要訪問(wèn)的URL地址
$response = Invoke-WebRequest -Uri $url # 發(fā)送HTTP GET請(qǐng)求獲取網(wǎng)頁(yè)內(nèi)容
$contentLines = ($response.Content | Out-String) -split "`n" # 按換行符分隔內(nèi)容為多行字符串?dāng)?shù)組
foreach($line in $contentLines){
if(![string]::IsNullOrWhiteSpace($line)){
$ipAddress += '"' + $line + '",' # 在每行前后添加雙引號(hào)，并存入變量中
}
}
# 去除最后一個(gè)逗號(hào)（如果有）
if($ipAddress[-1] -eq ','){
$ipAddress = $ipAddress.Substring(0,$ipAddress.Length-1)
}
# 輸出結(jié)果
# Write-Output $ipAddress
$file = "c:\ip.ps1"
$cmd= "New-NetFirewallRule -DisplayName ""允許國(guó)內(nèi)IP地址"" -Direction Inbound -Action Allow -Protocol Any -RemoteAddress "
#寫入ps1文件
$cmd + $ipAddress | Out-File -FilePath $file
#執(zhí)行命令
# invoke-expression -Command $file
最后一代碼 invoke-expression -Command $file PowerShell中就是無(wú)法執(zhí)行成功,經(jīng)過(guò)很長(zhǎng)時(shí)間查詢,也不知道原因在哪里,通過(guò)手動(dòng)運(yùn)行生成c:\ip.ps1卻是可以的,只有分成兩部操作, 總之一次性把8000+的ip地址規(guī)則配置好就行了,這樣就把數(shù)據(jù)添加好了
運(yùn)行上面代碼不生成Windows防火墻規(guī)則
必須要運(yùn)行c盤生成的ip.ps1
請(qǐng)注意!!! 上面的測(cè)試規(guī)則是開(kāi)放所有端口
請(qǐng)注意!!! 上面的測(cè)試規(guī)則是開(kāi)放所有端口
請(qǐng)注意!!! 上面的測(cè)試規(guī)則是開(kāi)放所有端口
測(cè)試結(jié)果
阿里云網(wǎng)站運(yùn)維檢測(cè)平臺(tái)
https://boce.aliyun.com/detect/ping
概況
國(guó)內(nèi)結(jié)果
文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-766795.html
海外結(jié)果
由于只使用了IPv4提供服務(wù)
所以這里只針對(duì)IPv4進(jìn)行了配置, IPv6也是同理的文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-766795.html
到了這里，關(guān)于【W(wǎng)indows防火墻配置Windows Server服務(wù)器只允許國(guó)內(nèi)IP訪問(wèn)】的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
