Linux 服务器与 OpenWRT 如何用 ipset 自动封堵攻击 IP 黑名单

方案一:ipset + iptables(通用)

适合 CentOS / Debian / Ubuntu 及多数仍用 iptables 的系统,保存为 /usr/local/bin/tc_sync.sh 并加执行权限:

#!/bin/sh
# TrapCloud 攻击 IP 黑名单 -> ipset 自动同步(iptables 方案)
URL="https://www.trapcloud.cn/api/export?key=你的APIKey&type=all&level=all&service=all&hours=72&format=txt"
SET="trapcloud"
TMP="/tmp/tc_block.txt"

curl -fsS -m 60 "$URL" -o "$TMP" || exit 1

# 安全闸:必须是合法 IP 且条数达标,否则保留现有名单
CNT=$(grep -Ec '^[0-9]{1,3}(\.[0-9]{1,3}){3}$' "$TMP")
[ "$CNT" -lt 100 ] && exit 1

ipset create "$SET" hash:ip maxelem 300000 -exist
ipset create "$SET"_tmp hash:ip maxelem 300000 -exist
ipset flush "$SET"_tmp
sed -n -E 's/^([0-9]{1,3}(\.[0-9]{1,3}){3})$/add '"$SET"'_tmp \1/p' "$TMP" \
  | ipset restore -!
ipset swap "$SET"_tmp "$SET"      # 原子切换,无保护空窗
ipset destroy "$SET"_tmp

# 首次运行时挂上 DROP 规则(已存在则跳过)
iptables -C INPUT -m set --match-set "$SET" src -j DROP 2>/dev/null \
  || iptables -I INPUT -m set --match-set "$SET" src -j DROP

方案二:nftables(新系统 / OpenWRT fw4)

Debian 12+、RHEL 9+ 与 fw4 版 OpenWRT 默认 nftables:

#!/bin/sh
# nftables 方案(Debian 12+ / RHEL 9+ / OpenWRT fw4)
URL="https://www.trapcloud.cn/api/export?key=你的APIKey&type=all&level=all&service=all&hours=72&format=txt"
TMP="/tmp/tc_block.txt"

curl -fsS -m 60 "$URL" -o "$TMP" || exit 1
CNT=$(grep -Ec '^[0-9]{1,3}(\.[0-9]{1,3}){3}$' "$TMP")
[ "$CNT" -lt 100 ] && exit 1

# 首次运行:建表、建集合、挂一条 drop 规则
nft list table inet trapcloud >/dev/null 2>&1 || {
  nft add table inet trapcloud
  nft "add set inet trapcloud blocklist { type ipv4_addr; size 300000; }"
  nft "add chain inet trapcloud input { type filter hook input priority -10; }"
  nft add rule inet trapcloud input ip saddr @blocklist drop
}

# 整批替换集合内容
{
  echo "flush set inet trapcloud blocklist"
  sed -n -E 's/^([0-9]{1,3}(\.[0-9]{1,3}){3})$/add element inet trapcloud blocklist { \1 }/p' "$TMP"
} > /tmp/tc_block.nft
nft -f /tmp/tc_block.nft

定时更新

# 每小时同步一次(订阅配额每天 100 次,24 次/天在配额内)
17 * * * * /usr/local/bin/tc_sync.sh >/dev/null 2>&1

OpenWRT 用户也可以不写脚本:banIP 插件支持自定义源(Custom Feed), 把导出 URL 配置为自定义黑名单源即可。等级与时间窗的选择同其它设备: hours=72 全量约十几万条,level=high 约数万条,level=critical 约数千条, 小内存路由器建议从 critical 起步。

常见问题