Sau khi đã cài đặt xong Pfblocker ở bài hướng dẫn trước, giờ đến áp dụng vào policy để chặn tất cả traffic từ quốc tế chỉ cho phép ip VN kết nối.
Nếu chưa xem cách cài đặt vui lòng truy cập link sau: Hướng dẫn cài đặt Pfblocker
Giới thiệu
Một trong những tính năng nổi bật và được sử dụng nhiều nhất của pfBlockerNG chính là khả năng chặn lưu lượng dựa trên GeoIP – tức là dựa vào vị trí địa lý của địa chỉ IP nguồn hoặc đích. Thay vì phải thủ công duyệt qua hàng loạt dải IP rời rạc, quản trị viên có thể nhanh chóng áp dụng chính sách "cho phép" hoặc "từ chối" dựa trên từng quốc gia, từng khu vực hoặc thậm chí toàn bộ châu lục. Điều này đặc biệt hữu ích trong các kịch bản mà hệ thống mạng nội bộ chỉ phục vụ người dùng trong nước, hoặc khi doanh nghiệp muốn loại bỏ nguy cơ từ những vùng lãnh thổ vốn không có nhu cầu truy cập hợp pháp.
Không chỉ dừng lại ở việc lọc địa chỉ IP, GeoIP trong pfBlockerNG còn mang lại sự linh hoạt cao khi cho phép quản trị viên kết hợp với các chính sách firewall sẵn có để xây dựng nên một bức tường bảo vệ đa tầng. Ví dụ, bạn có thể chặn toàn bộ lưu lượng đến từ những quốc gia thường xuyên phát sinh tấn công mạng, nhưng vẫn cho phép ngoại lệ đối với một vài địa chỉ IP tin cậy để phục vụ công việc. Nhờ vậy, giải pháp GeoIP không những giảm thiểu đáng kể bề mặt tấn công mà còn giúp tối ưu hóa hiệu năng, bởi hệ thống không còn phải xử lý lưu lượng không mong muốn ngay từ lớp đầu tiên.
Hướng dẫn cấu hình chặn QT trên Pfblocker bằng GeoIP:
Các bước làm tương tự cấu hình DNAT trên Pfsense. Chi tiết hướng dẫn làm theo các bước sau:
VD: IP WAN của mình là 103.2.228.21.
Bước 1: vào firewall → NAT → Port Forward
Bước 2: Chọn add để tạo policy mới :
Interface : chọn WAN (từ internet đi vào)
Source : Chọn address or Alias sau đó chọn list ipv4 VN của Pfblocker.
Destination: Nhập vào IP WAN hoặc có thể chọn WAN address ( nếu WAN chỉ có 1 IP public)
Destination port range : Nhập vào dãy port cho phép kết nối đến WAN
Redirect target IP: Nhập vào IP Server nội bộ sẽ được chuyển tiếp đến
Redirect target Port: Nhập vào port Server nội bộ sẽ được chuyển tiếp đến
Bước 3: kiểm tra lại policy đã source address được phép truy cập là list IP VN
Bước 4: Tạo rule WAN cho phép traffic vào :
Chọn Firewall → Rules → WAN
Tương tự policy NAT ở đây phần IP source chọn pfB_VietNam_V4 để chỉ cho phép vietnam
Bước 5: kết quả :
Telnet bằng IP Việt Nam qua port 1135 đã NAT ở trên :
Kiểm tra check port bằng 1 trang web quốc tế thì không thấy port open (vì đã bị block):
