/ 2018-08-13
根据web日志或者或者网络连接数,监控当某个IP并发连接数或者短时内PV达到100,即调用防火墙命令封掉对应的IP,监控频率每隔3分钟。防火墙命令为:
1iptables -I INPUT -s 10.0.0.10 -j DROP
解答:
(一)先来Web日志:
开发思路分析:
1、分析出IP地址,然后去重,搞定各个IP的访问次数,可以放到文件里。
1[root@oldboy scripts]# awk '{print $1}' access_2010-12-8.log|sort|uniq -c|sort -rn|head
2 35 59.33.26.105
3 23 123.122.65.226
4 8 124.115.4.18
5[root@oldboy scripts]# awk '{S[$1]++}END{for(k in S) print S[k],k}' access_2010-12-8.log|sort -rn|head
635 59.33.26.105
723 123.122.65.226
88 124.115.4.18
2、IP的访问次数到100,就封掉
需要if条件句
3、读1的去重结果文件,可用while
4、最终答案
1[root@oldboy scripts]# cat exam05.sh
2#!/bin/bash
3##############################################################
4# File Name: exam05.sh
5# Version: V1.0
6# Author: oldboy
7# Organization: www.oldboyedu.com
8##############################################################
9while true
10do
11 awk '{S[$1]++}END{for(k in S) print S[k],k}' access_2010-12-8.log|sort -rn|head >/tmp/ip.log
12 while read line
13 do
14 ip=`echo $line|awk '{print $2}'`
15 count=`echo $line|awk '{print $1}'`
16 if [ $count -ge 36 -a `grep -w "$ip" /tmp/drop_$(date +%F).ip|wc -l` -lt 1 ]
17 then
18 iptables -I INPUT -s $ip -j DROP &&\
19 echo -e "$ip\t `date +%F`" >>/tmp/drop_$(date +%F).ip
20 fi
21 done22 sleep 5
23done
(二)如果是网络日志:
从生产环境拉取netstat.log测试
1[root@oldboy scripts]# awk -F "[ :]+" '/EST.*$/{print $(NF-3)}' netstat.log |awk '{S[$1]++}END{for(k in S)print S[k],k}'|sort -rn|head
24 118.242.18.177
33 123.6.8.223
43 114.250.252.127
52 123.244.104.42
62 121.204.108.160
71 59.53.166.165
81 58.45.107.189
91 42.95.73.152
101 42.196.246.180
111 36.46.160.100
如果是工作中可以netstat -an|awk -F "[ :]+" '/EST.*$/{print $(NF-3)}'分析
最终答案:
1[root@oldboy scripts]# cat exam05.sh
2#!/bin/bash
3##############################################################
4# File Name: exam05.sh
5# Version: V1.0
6# Author: oldboy
7# Organization: www.oldboyedu.com
8##############################################################
9while true
10do
11 awk -F "[ :]+" '/EST.*$/{print $(NF-3)}' netstat.log |awk '{S[$1]++}END{for(k in S)print S[k],k}'|sort -rn|head >/tmp/ip.log
12 while read line
13 do
14 ip=`echo $line|awk '{print $2}'`
15 count=`echo $line|awk '{print $1}'`
16 if [ $count -ge 36 -a `grep -w "$ip" /tmp/drop_$(date +%F).ip|wc -l` -lt 1 ]
17 then
18 iptables -I INPUT -s $ip -j DROP &&\
19 echo -e "$ip\t `date +%F`" >>/tmp/drop_$(date +%F).ip
20 fi
21 done22 sleep 5
23done
内容来自于《跟老男孩学习Linux运维:Shell编程实战》一书,国内经典Shell学习书籍。
(18)