VPN IP 차단방법(톰캣 IP 접근제한)

개발 - WEB, WAS, DB

VPN IP 차단방법(톰캣 IP 접근제한)

개미v 2020. 7. 23. 19:59

사이트 운영을 하는데 VPN으로 들어와서 범죄행위를 하는 사람이 발생 했습니다.

하지만 VPN 접근을 막을 수 있는 방법이 딱히 없어서, 특단의 조치로 해외IP는 모두 접근 차단하고, 국내IP만 접근 허용하도록 하였습니다.

화이트리스트 방식이고, 만약 블랙리스트 방식으로 운영하기 위해서는 방대한DB가 필요하고 운영에서 엄청난 노가다가 필요할 것 같습니다.

국내 IP 대역

한국인터넷정보센터에서 국내에서 사용하는 IP를 확인할 수 있습니다.

https://xn--3e0bx5euxnjje69i70af08bea817g.xn--3e0b707e/jsp/statboard/IPAS/ovrse/natal/IPaddrBandCurrent.jsp?nationCode1=KR

한국인터넷정보센터(KRNIC)

도메인 소개, 등록 및 사용, IP주소, AS번호, DNS 정보, 관련규정 제공

xn--3e0bx5euxnjje69i70af08bea817g.xn--3e0b707e

korea_ip_20210918.csv

0.06MB

톰캣 IP 접근제한 설정

/conf/server.xml 파일에서 allow 또는 deny 설정을 할 수 있습니다.

톰캣 버전마다 설정에 차이가 약간 있는데, 저는 Tomcat 9.0을 사용합니다.

Tomcat 9.0은 정규식이 지원되고 사용방법에 대해서 몇 가지 예제로 설명해 드립니다.

<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="127.0.0.1"/>

127.0.0.1에 대해서만 허용하고 나머지는 전부 차단합니다.

<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="11\.0\.\d+\.\d+|12\.0\.\d+\.\d+"/>

11.0.* 과 12.0.*에 대해서 허용하고, 나머지는 전부 차단합니다.

※ 참고로 정규식으로 표현해야 하기 때문에 설정파일에 11.0.*, 12.0.*와 같이 작성 하면 안됩니다.

<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="11\.0\.\d+\.\d+"/>

<Valve className="org.apache.catalina.valves.RemoteAddrValve" deny="11.0.2.100"/>

11.0.* 대해서 허용하지만, 11.0.2.100에 대해서는 차단합니다.

우선순위는 deny가 높습니다.

국내 IP에 대해서 톰캣 설정용 화이트리스트 만들기

한국인터넷정보센터에서 제공하는 엑셀파일을 갖고 수작업으로 정규식 설정을 만들수가 없어서 프로그램을 짜서 해결 하였습니다.

KoreaIpList_20200723.zip

0.02MB

import java.io.BufferedReader;
import java.io.File;
import java.io.FileReader;
import java.util.Iterator;
import java.util.Set;
import java.util.TreeSet;

public class Main {
	
	private static String FILE_INPUT = "D:\\korea_ip.csv";
	private static String REG_STR = "\\.\\d+\\.\\d+|";

	public static void main(String[] args) throws Exception {

		Set<String> set = new TreeSet<String>();

		File file = new File(FILE_INPUT);
		FileReader filereader = new FileReader(file);
		BufferedReader bufReader = new BufferedReader(filereader);

		String line = "";
		while ((line = bufReader.readLine()) != null) {

			String IpFrom = line.split(",")[0];
			String IpTo = line.split(",")[1];

			// IP 첫번째 자리
			String IpFrom1Digit = IpFrom.split("\\.")[0];

			// IP 두번째 자리
			String IpFrom2Digit = IpFrom.split("\\.")[1];
			String IpTo2Digit = IpTo.split("\\.")[1];

			// IP 두번째 자리 Range 처리 후 전체 IP 정규식 생성
			for (int i = Integer.parseInt(IpFrom2Digit); i <= Integer.parseInt(IpTo2Digit); i++) {
				String IpFullStr = IpFrom1Digit + "\\." + Integer.toString(i) + REG_STR;
				set.add(IpFullStr);
			}
		}
		bufReader.close();

		// 검색 봇 IP 추가
		// 구글 봇
		set.add("66\\.249" + REG_STR);
		// 빙 봇
		set.add("157\\.55" + REG_STR);
		set.add("65\\.52" + REG_STR);
		// MSN 봇
		set.add("207\\.46" + REG_STR);
		// 야후
		set.add("67\\.195\\.114\\.35|");
		set.add("72\\.30\\.161\\.233|");				
		
		// 전체 1줄로 출력
		String resultOneLine = "";
		for (Iterator<String> i = set.iterator(); i.hasNext();) {
			resultOneLine += i.next();
		}
		// 결과에서 가장 마지막 OR[파이프] 삭제 해야함
		System.out.println(resultOneLine);
	}
}

국내 IP 화이트리스트 (톰캣 설정)

결과가 아래와 같이 나오고 톰캣 /conf/server.xml에 설정을 추가하면 되겠습니다.

IP허용리스트_20210918.txt

0.04MB

한계점

정규식을 보면 IP체크를 xxx.xxx 두자리 까지만 하도록 하였습니다.

만약 VPN IP가 저 범위에 속한다면 접근이 가능합니다.

톰캣 설정에 맞춰서 정규식으로 100% 정확하게 하려고 한다면 더 많은 시간과 노력과 긴 정규식 설정이 필요할 것 같습니다.

그래도 저정도면 99%는 차단할 수 있을 것이라 생각은 됩니다.

혹시 VPN 차단을 위한 좀 더 좋은 방법을 알고 계신분이 있다면 댓글 달아 주시기 바랍니다.

저작자표시

'개발 - WEB, WAS, DB' 카테고리의 다른 글

Apache 1개 - Tomcat 여러개 AJP 설정 방법 (0)	2022.01.01
리눅스에서 일반계정으로 80포트 사용하기 (0)	2021.05.12
tomcat 환경에서 mysql JDBC 연결시 - Communications link failure (0)	2020.05.13
톰캣 오류 - java.util.concurrent.ExecutionException: org.apache.catalina.LifecycleException (0)	2018.11.25
Oracle shp 파일 임포트 (0)	2018.11.25

현재글VPN IP 차단방법(톰캣 IP 접근제한)

성장주 투자