如何屏蔽 SS 服务器访问大陆的 IP 段？

[myliyifei]

我已经下载并得到了chnroute.list，也创建好了ipset。


查了一下 ss好像有个--acl选项，[--acl <acl_file>] config file of ACL (Access Control List)
但是貌似给ss-server没有用。 这个是个ss-local用的吗？

但是我先前尝试在OUTPUT reject所有匹配ipset的访问，并且用ownerid 识别出只有SS的流量，但是想起来这样也屏蔽了SS返回给客户端的报文。



目前想到几个思路，

A 是在INPUT标记连接到SS-SERVER的端口 connmark ，然后在OUTPUT的屏蔽访问IP段ACL之前accept 标记的连接，不过还没有测试

B 是在OUTPUT 放行 SS-SERVER的SPORT端口发出的连接，然后屏蔽国内的段。但是缺点是多端口多用户，就要写多条了。

C 在SS前面在做一个代理服务器，用PID 标识那个代理服务器并限制其访问IP端。缺点应该是耗内存，然后https的透明代理要生成证书。

大家有更优雅的方法吗

[Showfom]

iptables?

[chinawrj]

iptables -A OUTPUT -p tcp --sport server_port -j ACCEPT
iptables -A OUTPUT -p tcp -m geoip --dst-cc CN -j DROP

另外iptables支持端口范围匹配

[chinawrj]

还有用啥，ipset啊，麻烦

[tobyxdd]

中国IP段CIDR
http://www.ipdeny.com/ipblocks/data/aggregated/cn-aggregated.zone

[tobyxdd]

可以只屏蔽http/https协议 或者直接禁止访问大陆IP的80和443端口

[myliyifei]

@tobyxdd 比较旧了，我昨天看一下，最新的58XX条了。

[tobyxdd]

@myliyifei 这个是每24小时更新的 行数少是因为相邻段自动合并了

[KyonLi]

https://www.howtoforge.com/xtables-addons-on-centos-6-and-iptables-geoip-filtering

[myliyifei]

@KyonLi 难点不是这张表啊，这个list已经有了

[KyonLi]

@myliyifei 对啊，所以一条iptables规则就行了

[myliyifei]

@tobyxdd 这个服务不错。。

[myliyifei]

@KyonLi NO, 你只加了一条规则，禁止localhost访问国内IP段，那么SS如何给客户端发送数据包呢？ 我目前是实现了端口的方式，还要自定义链

[KyonLi]

@myliyifei 哦，对，忽略这个问题了

[ryd994]

你先把related允许掉嘛，
只reject new就行

[myliyifei]

@ryd994 related 是相关的连接啊，比如ftp-control 产生的ftp-data

[ryd994]

@myliyifei 我错了……
established

[advans]

不明白为什么非要费力气做这么不讨好的事儿！

[myliyifei]

@ryd994 能完整的说一下吗？

[ryd994]

@myliyifei
output，如果是established，related ，允许
output，如果是 new，判断geoip规则
这样就是只限制出站的。
因为入站连接的返回部分会被作为established允许。

[myliyifei]

@ryd994 恩，new的话，我直接用ipset判定好了。加不加NEW都没有意义吧？另外，SS会产生 related这个状态吗？ netstat可以看到related状态吧