[SSH]SSH Geoip적용 하여 국가별 IP 허용하기

 

리눅스 서버 설치 이후 SSH같은 원격 서비스 같은 경우에는 많은 로그인 시도가 발생 하게 되며,

 

그때그때 해당 IP를 차단하는 방법도 있지만, 이 방법은 많은 손이 가게 되며,

막지 말아야할 IP까지 막을 경우가 있습니다.
 
그리고 국내에서만 서비스 혹은 국내에서만 관리자가 접근 한다고 가정 할 시에는 특정 국가에서만 접속을 허용하면 편하게 사용이 가능 합니다. 
 
먼저 GeoIP C API를 다운로드 받습니다.
 
http://dev.maxmind.com/geoip/legacy/downloadable/ 에서 확인 가능하며 C Source버전을 다운로드 받습니다.
 
Wget을 이용해서 다운로드 
wget http://www.maxmind.com/download/geoip/api/c/GeoIP-latest.tar.gz
 
 
압축해제 
tar -zxvf GeoIP-latest.tar.gz 
 
GeoIP API디렉토리로 이동 
cd GeoIP-1.5.1/
 
 
컴파일 시작
./configure --prefix=/usr/local/GeoIP
 
Make

Make install

 
API설치 후 API에서 연동할 GeoIP Database파일을 다운로드 받습니다.
GeoIP Database 는 두종류가 있으며, 국가코드만 제공하는 GeoIP.dat 와 도시코드까지 제공하는 GeoLiteCity.dat 가 있습니다.
http://dev.maxmind.com/geoip/legacy/geolite/ 에서 다운로드 가능한 Database를 확인 가능 합니다.
 
 
GeoLiteCity 다운로드
http://geolite.maxmind.com/download/geoip/database/GeoLiteCity.dat.gz

 
압축해제 후 GeoIP API 경로로 이동
gzip -d GeoLiteCity.dat.gz
mv GeoLiteCity.dat /usr/local/GeoIP/share/GeoIP/
 
SSH연동을 위한 PAM_geoip 다운로드
http://ankh-morp.org/code/pam_geoip/#DOWNLOADS 에서 확인 가능하며 최신버전으로 다운로드 합니다.
wget http://download.ankh-morp.org/pam_geoip/pam_geoip-1.1.tar.gz
 
 
압축해제
tar -zxvf pam_geoip-1.1.tar.gz

 
pam_geoip 컴파일 준비
컴파일 전에 Makefile파일에 현재 설치한 GeoIP 의 API 경로를 넣어 줍니다.
sed -i 's|CCFLAGS=|CCFLAGS=-I/usr/local/GeoIP/include |g' Makefile
sed -i 's|LDFLAGS=|LDFLAGS=-L/usr/local/GeoIP/lib |g' Makefile
 

pam_geoip 컴파일
make
 
 
컴파일 후 생성된 모듈을 /lib/security 디렉터리로 이동합니다.
 
32BIT

cp pam_geoip.so /lib/security/
 
64BIT
cp pam_geoip.so /lib64/security/
 
 
/etc/ld.so.conf 파일에 GeoIP모듈 추가 하기
vi /etc/ld.so.conf
 
/usr/local/GeoIP/lib 추가

ldconfig 실행 하기
 

SSH에 pam_geoip 적용 하기
 
vi /etc/security/geoip.conf 파일 생성
 
아래 내용 추가

#
# /etc/security/geoip.conf - config for pam_geoip.so
#
#
 
#<domain>       <service>       <action>        <location>

*               sshd            deny           KR,Seoul
*               sshd            deny           KR,*
*               sshd            allow           US,*; GB,*
*               sshd            deny            *
 
 
/etc/pam.d/sshd 수정 하기
 
vi /etc/pam.d/sshd
 
 
가장 상단에 아래 내용 추가 하기
account    required     pam_geoip.so system_file=/etc/security/geoip.conf

geoip_db=/usr/local/GeoIP/share/GeoIP/GeoLiteCity.dat action=allow

 
적용 된 내용 확인 하기
한국 IP 차단 설정후 확인된 로그 입니다.
Oct 28 15:43:53 localhost sshd[12583]: pam_geoip(sshd:account): location KR,* denied for user 로그인ID from 210.116.123.xxx (IPv4)
Oct 28 15:43:53 localhost sshd[12583]: Failed password for 로그인ID from 210.116.123.xxx port 2056 ssh2
Oct 28 15:43:53 localhost sshd[12587]: fatal: Access denied for user 로그인ID by PAM account configuration
 
한국 IP 허용 설정후 확인된 로그 입니다.
Oct 28 15:50:14 localhost sshd[12595]: pam_geoip(sshd:account): location KR,* allowed for user 로그인ID from 210.116.123.xxx (IPv4)
Oct 28 15:50:14 localhost sshd[12595]: Accepted password for 로그인ID from 210.116.123.xxx port 3805 ssh2
Oct 28 15:50:14 localhost sshd[12595]: pam_unix(sshd:session): session opened for user 로그인ID by (uid=0)