Перейти к основному содержанию
Небольшой дисклеймер. Часть информации взята с virtualize.link, потому что материалы автора полезны. Проверьте источник или поставьте звезду репозиторию.
Firehol blocklists — это набор автоматически обновляемых ipset-списков из множества security feed-источников: онлайн-атаки, злоупотребления сервисами, malware, botnet, C2-серверы и другая киберкриминальная активность.

​
VPS

​
Установка

Установите пакеты: 
sudo apt install ipset iprange

​
Firehol blocklists

Перейдите на сайт Firehol или в GitHub-репозиторий Firehol и выберите blocklists, которые хотите включить. Скопируйте raw-ссылки в /home/user/firehol/firehol.conf. Пример:
/home/user/firehol/firehol.conf
https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level1.netset
https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level2.netset
https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level3.netset
https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_abusers_1d.netset

​
Скрипт Firehol

Создайте скрипт, который обновляет firehol ipsets и заново создает iptables-правила. Например, /home/user/firehol/firehol.sh:
/home/user/firehol/firehol.sh
#!/bin/bash

LOG="/home/user/firehol/firehol.log"
URLS=$(cat "/home/user/firehol/firehol.conf")
echo "Updating Firehol $(date)" >> $LOG

iptables -D INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT > /dev/null 2>&1
iptables -D DOCKER-USER -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT > /dev/null 2>&1
iptables -D FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT > /dev/null 2>&1
iptables -I FORWARD 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT >> $LOG
iptables -I INPUT 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT >> $LOG
iptables -I DOCKER-USER 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT >> $LOG

for URL in $URLS
do
	echo $URL >> $LOG
	NAME=$(basename $URL)
	echo $NAME >> $LOG
	FILE="/home/user/firehol/$NAME"
	curl -s -k $URL > $FILE
	# The following sed removes LAN ranges from the lists otherwise you might block yourself
	sed -i -e 's#10.0.0.0/8##' -e 's#172.16.0.0/12##' -e 's#192.168.0.0/16##' -e 's#127.0.0.0/8##' $FILE
	COUNT=$(/usr/bin/iprange -C $FILE)
	COUNT=${COUNT/*,/}
	echo $COUNT >> $LOG
	/usr/sbin/ipset create --exist $NAME hash:net family inet maxelem 131072 >> $LOG
	/usr/sbin/ipset flush $NAME > /dev/null 2>&1
	/usr/bin/iprange $FILE --ipset-reduce 20 --ipset-reduce-entries 65535 --print-prefix "-A $NAME " > $FILE.ipset
	/usr/sbin/ipset restore --exist --file $FILE.ipset >> $LOG
	/usr/sbin/iptables -D FORWARD -m set --match-set $NAME src -j DROP &>/dev/null
	/usr/sbin/iptables -D INPUT -m set --match-set $NAME src -j DROP &>/dev/null
	/usr/sbin/iptables -D DOCKER-USER -m set --match-set $NAME src -j DROP &>/dev/null
	/usr/sbin/iptables -I DOCKER-USER 2 -m set --match-set $NAME src -j DROP >> $LOG
	/usr/sbin/iptables -I INPUT 2 -m set --match-set $NAME src -j DROP >> $LOG
	/usr/sbin/iptables -I FORWARD 2 -m set --match-set $NAME src -j DROP >> $LOG
done
Проверьте, что все работает и ipsets заполнены: 
chmod +x /home/user/firehol/firehol.sh
sudo /home/user/firehol/firehol.sh
sudo ipset list firehol_level1.netset

​
Расписание Cron

Убедитесь, что вы случайно не заблокируете свой доступ к VPS перед продолжением.
Запускайте скрипт firehol при загрузке и ежедневно. Например, добавьте в sudo crontab -e: 
0 1 * * * /home/user/firehol/firehol.sh
@reboot sleep 120 && /home/user/firehol/firehol.sh
Проверьте запуск при ребуте и ежедневно. После перезагрузки есть задержка 2 минуты, чтобы успеть исправить возможную блокировку.

​
OPNSense

​
Alias

Перейдите в Firewall > Aliases и создайте: 
Name: Firehol
Type: URL IPs
Content:
https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level1.netset
https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level2.netset
https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_level3.netset
https://raw.githubusercontent.com/firehol/blocklist-ipsets/master/firehol_abusers_1d.netset

Name: External
Type: Networks
Content: !10.0.0.0/8, !172.16.0.0/12, !192.168.0.0/16, !127.0.0.1

Name: Firehol_without_internal
Type: Network group
Content: External, Firehol

​
Firewall

Перейдите в Firewall > Rules > WAN и создайте правило: 
Action: Block
Interface: WAN
Direction: in
TCP/IP Version: IPv4
Protocol: any
Source: Firehol_without_internal
Destination: any

​
Cron

Создайте cron-задачу для ежедневного обновления списков. Перейдите в System > Settings > Cron и добавьте: 
Enabled: checked
Minutes: 0
Hours: 0
Day of the month: *
Months: *
Days of the week: *
Command: Update and reload firewall aliases