pfsense 封鎖非台灣地區 IP 連線 (台灣 IP 全列表)

MarchFun

如果你的公司或家庭內部的伺服器或任何服務並不需要給台灣以外的裝置連線。那麼其實可以將台灣地區以外的連線全部封鎖。這麼做可以減少八至九成以上的網路攻擊及試探。
' i8 |% ~5 f0 E0 Y/ I, r
1 r( [/ d# j1 X$ R+ p首先下載本文附件的台灣地區 IP 列表。然後前往「Firewall > Aliases」中建立一個台灣 IP 的別名。

3 ]+ s, a! @. B在 Name 的地方輸入一個別名，例如「tw_ip」，Type 選擇「Network(s)」，其它保留預設不變。在最下方先隨便輸入一組 IP 位址，如「123.123.123.123」 / 線之後輸入「32」。


+ m/ S* @6 `+ o* j1 A& Z6 M" J& {
9 y5 q' \) C$ n- v4 j由於 pfsense 並不提供別名內容的匯入功能，我們必須透過上傳備份設定的方式來達成。所以接著來到「Diagnostics > Backup & Restore」將目前的設定值下載。

將下載來的設定備份 xml 檔案以文字編輯器開啟，搜尋剛剛建立的別名「tw_ip」或「123.123.123.123」。



; a$ s. Z% I+ R) i將其下方 <address> 與 </address> 間的 123.123.123.123/32 選取並以先前下載的台灣地區 IP 列表的全部內容貼上取代。
# h1 ^3 |0 |) d# ^很重要的一點！請將你的區域網路例如：192.168.1.0/24 加入到台灣地區 IP 列表的最後面。否則可能內網存取會有問題。
& j+ A) H; S# l

$ d! t1 E: v& c2 H8 ]& M/ T
6 f) Q: i7 E% G: \) E4 a3 O1 v這樣還不夠，記得一定要把下方 <detail> 到 </detail> 這一行刪除。否則匯入不會成功。然後存檔。

4 I0 o2 `7 r) ?8 L

# {8 b$ s8 A% x0 m( v' O接下來再次回到「Diagnostics > Backup & Restore」，將剛才修改過的備份設定上傳回復。此時 pfsense 會重新開機。

重新開機之後再回到「Firewall > Aliases」確認一下是否匯入成功。

: U1 H6 e7 [: I/ K+ I, p

最後前往「Firewall > Rules > WAN」新增一條規則。
3 e+ @! {) r* a* H: D7 S4 j
8 ?3 ?- l) Y. a: K9 e

• Action 選擇 Block
• Interface 選擇 WAN
• Address Family 選擇 IPv4
• Protocol 選擇 Any
• Source 選擇 Single host or alias 並在其後輸入「tw_ip」這個別名。並且千萬記得要勾選「Invert match」這個反向符合。未勾選之前的意思是「tw_ip」內的列表會符合這個條件；勾選後就變成「tw_ip」列表之外的，也就是台灣地區 IP 之外才符合此條件。
• 其它的內容保留預設值
• 儲存此規則
  

2 @' x5 F3 g1 o0 V
4 w$ p# G- `9 J  O* E$ w5 @
2 g& X6 E: o  o* o' n! c  h' B
' M1 q! D4 z& Q9 U( t9 w1 Y8 f0 l最後還有一個最需要注意的，這條規則必須放在預設規則之後，並且在其它的規則之前。(pfsense 的規則是越前面的權重越高)
0 M& i0 Y8 [' t: u; u% z
* ^3 q$ Q& U0 z3 Y7 ?' J4 V

" W, D1 b, {: F1 j- b. x4 {註： 在此規則之後的才受到此規則的限制，在它前面的不受限制。可自行善加調整位置利用。


# X. p- N0 B' g