可否使用iptables阻止某IP对服务器中的某网站的访问

polokus

是这样，公司的web服务器上有多个网站，其中有个网站最近流量特别高，经过检查发现有某个IP地址频繁对这个网站的首页进行访问，产生了很高的流量

我现在就想阻断掉这个IP地址对该网站的访问，但不想影响这个IP地址对web服务器上其他网站的访问

请问可否用iptables实现，或者使用其他什么软件可以实现

q1208c

也许, 可以试试 apache 本身的限制.

聪明笨小孩

apache 的规则可以 屏蔽

ipaddr

apache中有deny可以封ＩＰ的。

polokus

呃，是否可以在网站目录下面创建 .htaccess 文件，在这里面做些控制？

chenyx

拒绝ip访问用iptables可以解决,要求可以访问其他网站只能用apache的规则了

rainsome

应该可以

类似这样。

iptables -I INPUT 1 -s ip -d servername -dport 80 -p tcp -j DROP
iptables -I INPUT 1 -s ip -d servername -dport 80 -p udp -j DROP

zhoutao0712

“我现在就想阻断掉这个IP地址对该网站的访问，但不想影响这个IP地址对web服务器上其他网站的访问”

关键是后半句。很可能服务器就一个IP地址多个网站的哦。
真要用iptables达到目的，我想到2种思路：
1.使用string或者layer 7模块
2.如果该网站在服务器上有独立的进程，那么可以使用owner模块匹配该进程pid

但是，这两者对于你的问题来说，我认为都不是好办法。
最好是：
1.如楼上几位所言，在应用程序中设置访问限制，我记得apache可以限制session数量
2.使用iptables的connlimit，hashlimit,fuzzy等模块做访问限制

思路大概就这样，具体实施方法google

liulihua_cu

iptables -A INPUT -s $ipaddress -p tcp -m tcp --dport 80 -j DROP

liulihua_cu

还可以考虑在多长时间内同一个IP的访问次数如果超过多少，则block这个ip

以下是3000秒内达到100次则block 此IP

iptables -N HTTPSCAN
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j HTTPSCAN
iptables -A HTTPSCAN -m recent --set --name HTTP
iptables -A HTTPSCAN -m recent --update --seconds 3000 --hitcount 100 --name HTTP -j LOG --log-level info --log-prefix "SCAN blocked HTTP: "
iptables -A HTTPSCAN -m recent --update --seconds 3000 --hitcount 100 --name HTTP -j DROP