可借助ipset配合Shell脚本实现轻量高效临时黑名单封禁，通过创建带超时的hash:ip集合、iptables规则匹配及部署脚本中ban_ip函数与trap清理机制完成自动化防护。
在自动化部署过程中，为防止恶意扫描、暴力破解或异常流量干扰，可借助 ipset 配合 Shell 脚本实现轻量、高效、可编程的临时黑名单封禁。相比直接操作 iptables 规则，ipset 支持批量管理 IP（甚至网段），匹配性能高，且规则可动态增删，非常适合部署阶段的临时防护。
一、确认系统支持并安装 ipset
大多数主流 Linux 发行版默认已内置 ipset，但需确认内核模块加载及命令可用：
- 执行
ipset --version查看是否安装；若未安装，用包管理器安装：
CentOS/RHEL：yum install -y ipset或dnf install -y ipset
Ubuntu/Debian：apt update && apt install -y ipset - 检查内核模块：
lsmod | grep ip_set，如无输出可手动加载：modprobe ip_set ip_set_hash_ip（常用 hash 类型） - 确保 iptables/nftables 正常运行（ipset 本身不拦截流量，需配合防火墙规则使用）
二、创建并初始化黑名单 ipset 集合
定义一个名为 deploy_blacklist 的哈希集合，支持 IPv4 地址，带超时自动清理（关键！避免长期残留）：
- 创建集合（5 分钟超时，单位秒）：
ipset create deploy_blacklist hash:ip timeout 300 - 验证创建成功：
ipset list deploy_blacklist - 添加一条测试规则到 iptables（仅限 INPUT 链，DROP 所有命中该集合的连接）：
iptables -I INPUT -m set --match-set deploy_blacklist src -j DROP - 注意：-I 表示插入最前，确保优先匹配；生产环境建议加在自定义链中，避免干扰现有策略
三、编写部署脚本中的封禁逻辑
在部署脚本（如 deploy.sh）关键节点插入以下函数，实现按需封禁与自动清理：
- 定义封禁函数（支持单 IP 或文件批量）：
ban_ip() {<br> local ip="$1"<br> if [[ -n "$ip" && "$ip" =~ ^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}$ ]]; then<br> ipset add deploy_blacklist "$ip" 2>/dev/null || true<br> fi<br> } - 批量封禁（例如从日志提取异常 IP）：
awk '/Failed password/ {print $11}' /var/log/auth.log | sort -u | while read ip; do ban_ip "$ip"; done - 部署结束时清空集合（推荐放在 trap 中确保执行）：
trap 'ipset flush deploy_blacklist' EXIT - 也可设置定时清理（如部署脚本运行超 10 分钟自动失效）：
ipset create deploy_blacklist hash:ip timeout 600（创建时指定更长 timeout）
四、安全增强与注意事项
- 避免误封自身 IP：封禁前可排除运维网段，例如：
if ! [[ "$ip" =~ ^192\.168\.100\.[0-9]+$ ]]; then ban_ip "$ip"; fi - 限制单次封禁数量，防内存耗尽：
ipset create deploy_blacklist hash:ip maxelem 65536 timeout 300 - 记录封禁行为便于审计：
echo "$(date): banned $ip" >> /var/log/deploy-firewall.log - 若使用 nftables，需改用 nft + ipset 组合（nft 支持 set 类型，但语法不同，建议统一用 iptables 兼容层）
