Merci pour vos interventions. Cela m'a aiguiller vers une solution viable.
Solution:
iptables.up.rule de base avec INPUT et FORWARD à DROP.
Ensuite, un script avec IPSET comme ceci :
#!/bin/bash
ipset --create feckonn nethash
ipset --add feckonn 192.168.1.0/24
ipset --add feckonn 123.123.123.0/26
(liste à allouer ici)
ipset --create feckoff nethash
ipset --add feckoff 0.0.0.0/8
(liste à refuser ici)
iptables -I INPUT 14 -m set --set feckonn src -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -m set --set feckoff src -p tcp --dport 80 -j DROP
iptables -A INPUT -m geoip --src-cc XX -p tcp --dport 80 -j ACCEPT
exit 0
Du coup, j'ai résolu concernant GEOIP. Mon problème était situé dans le fait que
je refusais à la base et que je refusais aussi tout ce qui n'était pas XX. Alors, qu'en faite,
je devais accepter étant donné que je refusais à la base. L'ordre INPUT à 14 est la séquence
vers la fin après mes politique d'acceptation.
Résumé:
Protection en premier de fail2ban et de Mod_security. Ensuite, les protections de base de
IPtables. Puis les IP que j'accepte par groupes, puis ensuite les IP que je refuse par groupe.
Après, ce sont les IP du pays que j'accepte.
Maintenant, je pense avoir une bonne configuration que je vais surement améliorer.
Et surtout constituer les IP à bannir suite aux tentatives de hack.
Le fait de passer par un virtuelhost pour ses sites et de bannir complètement via l'accès par
le IP du FAI donne un plus pour se protéger des scannes qui sont systématiques et non ciblés.
Parfais pour se faire un serveur personnel. La seule chose qui me reste à trouver, c'est de
trouver une base CIDR par ville.
Bonne journée!
