Quelltext der Seite Apache2 Ubuntu 24.04 22.04 20.04 GeoIP Blocking einrichten

'''<u>Changelog:</u>'''<br>
* 20.01.2021 erste Version
* 20.04.2025 kleine Anpassungen
----
==Vorwort==
Ich setze für diverse Dienste/Programme/Zugriffe immer jeweils eine Subdomain ein.<br>
Am Standort wo auch diese Webseite gehostet wird habe ich mehrere öffentliche IP-Adressen hinter einer pfSense Firewall.<br>
Auf dieser nutze ich schon seit Jahren ein GeoIP-Blocking und erlaube den Zugriff auf bestimmte Dienste z.B. nur aus Deutschland.<br>
<br>
Zu Hause habe ich inzwischen auch eine feste IP-Adresse und auch dort einiges laufen was über diverse Subdomänen erreichbar ist.<br>
Nur habe ich dort "nur" eine FritzBox dazwischen welche per NAT die Ports 80 und 443 auf einen internen Server mit einem Apache2 weiterleitet.<br>
Dieser hostet einiges selbst bzw. dient als Reverse Proxy zu diversen anderen Diensten/Geräten.<br>
Jeder dieser Subdomänen läuft zwar unter einem eigenen, eingeschränktem Benutzer - aber da geht noch mehr!<br>
Um auch den Zugriff aus dem Ausland einzuschränken brauchte ich also eine Lösung die auf dem Ubuntu-Server ansetzt statt auf dem Router/Firewall.<br>
<br>
Ich arbeite hier immer als root, alle Befehle sind deshalb immer ohne <code>sudo</code> davor, mit<br>
 sudo -i
könnt auch Ihr dauerhaft (für die Sitzung) zum '''''root''''' wechseln.<br>
----

==Zugriff auf MaxMind GeoIP Datenbank geolite2 erhalten==
Zunächst brauchen wir eine Liste / Datenbank mit allen IP-Adressen und deren Zugehörigkeit zu den verschiedenen Ländern.<br>
Ich setze hier die kostenlose Datenbank '''''geolite2''''' von MaxMind ein, die wird etwa einmal in der Woche aktualisiert und dröselt die Adressen bis auf Länder- und Städteebene auf - was für unsere Zwecke völlig ausreicht.<br>
Zunächst müsst Ihr euch registrieren:<br>
 https://www.maxmind.com/en/geolite2/signup
Wenn Ihr euch danach erfolgreich angemeldet habt könnten Ihr in den Account-Einstellungen unter {{Key|My License Key}} einen neuen Zugriffsschlüssel erstellen:<br>
:[[Datei:ClipCapIt-210130-124342.PNG]]<br>
Vergebt einen passenden Namen (z.B. des Servers auf welchem Ihr das einsetzen wollt) und setzt die Einstellungen wie folgt:<br>
:[[Datei:ClipCapIt-210130-124623.PNG]]<br>
<br>
Dann seht Ihr eine Seite wo euch der Key angezeigt wird - notiert auch die Daten, es gibt keine Möglichkeit sich das noch einmal anzeigen zu lassen !!!!!<br>
:[[Datei:ClipCapIt-210130-124804.PNG]]<br>
Die Datei <code>GeoIP.conf</code> könnt auch gleich herunterladen und speichern.<br>
<br>
----
==GeoIP Update installieren und einrichten==
MaxMind bietet ein Tool an welches automatisch die Datenbank herunterladen und aktualisieren kann - <code>geoipupdate</code>.<br>
Und für Ubuntu sogar als Repository so das man sich um Updates auch nicht extra manuell bemühen muss.<br>
Wir fügen das Repository hinzu:<br>
 add-apt-repository ppa:maxmind/ppa
danach ein
 apt update
 apt upgrade -y
 apt install geoipupdate
Das Programm erwartet eine Konfigurationsdatei mit den Zugangsdaten die wir im ersten Schritt erzeugt haben.<br>
Das ist die Datei die wir zuvor heruntergeladen habt. Kopiert diese an den nachstehenden Pfad oder bearbeitet die bereits vorhandene:<br>
 nano /etc/GeoIP.conf
Inhalt:<br>
<source>
# Please see https://dev.maxmind.com/geoip/geoipupdate/ for instructions
# on setting up geoipupdate, including information on how to download a
# pre-filled GeoIP.conf file.

# Replace YOUR_ACCOUNT_ID_HERE and YOUR_LICENSE_KEY_HERE with an active account
# ID and license key combination associated with your MaxMind account. These
# are available from https://www.maxmind.com/en/my_license_key.
AccountID YOUR_ACCOUNT_ID_HERE
LicenseKey YOUR_LICENSE_KEY_HERE

# Enter the edition IDs of the databases you would like to update.
# Multiple edition IDs are separated by spaces.
EditionIDs GeoLite2-Country GeoLite2-City
</source>
Ihr ersetzt <code>YOUR_ACCOUNT_ID_HERE</code> und <code>YOUR_LICENSE_KEY_HERE</code> mit den Daten die Ihr euch zuvor notiert habt,<br>
das ganze könnt Ihr auch in der heruntergeladenen <code>GeoIP.conf</code> ersehen.<br>
Nach dem Speichern können wir die Datenbanken herunterladen:<br>
 geoipupdate -v
durch das <code>-v</code> zeigt er euch die einzelnen Schritte an, ansonsten würde er das ohne Rückmeldungen machen.<br>
<br>
Damit er die Datenbanken in Zukunft regelmäßig automatisch aktualisieret setzen wir einen entsprechenden CronJob:<br>
 crontab -e
und folgende Zeile hinzufügen und anpassen:<br>
 15 5 * * 0 /usr/bin/geoipupdate
führt das jeden Sonntag (0, 1 ist Montag usw) um 05:15 Uhr aus<br>
<br>
----
==Apache Erweiterungen herunterladen und installieren==
Zuerst die Apache2 und MaxMind Entwicklertools:<br>
 apt install apache2-dev libmaxminddb-dev -y
Nun die von MaxMind bereitgestellte Apache-Erweiterung:<br>
{{Hinweis|Hier wird auf die Version 1.2.0 verwiesen. Prüft bitte vorher unter https://github.com/maxmind/mod_maxminddb/releases/ ob es eventuell eine neuere Version gibt}}<br>
{{Hinweis|Stand 20.04.2025 hat sich die Version seit Jahren nicht verändert - macht nichts, es funktioniert immer noch!}}<br>
 cd /usr/src
 wget <nowiki>https://github.com/maxmind/mod_maxminddb/releases/download/1.2.0/mod_maxminddb-1.2.0.tar.gz</nowiki>
 tar xvzf mod_maxminddb-1.2.0.tar.gz
 cd mod_maxminddb-1.2.0
 ./configure
 make install
und danach den Apache2 neu starten:<br>
 systemctl restart apache2
Nun ist die Erweiterung innerhalb von Apache verfügbar (wird aber noch nicht genutzt)<br>
----

==Zugriff auf Webseite beschränken - nur Deutschland erlauben==
Wir bearbeiten die Konfigurationsdatei einer Webseite, diese liegen im Normalfall unter
 /etc/apache2/sites-available
und fügen folgende Zeilen hinzu:<br>
 # GeoIp Blocking
 MaxMindDBEnable On
 MaxMindDBFile COUNTRY_DB /usr/share/GeoIP/GeoLite2-Country.mmdb
 MaxMindDBEnv MM_COUNTRY_CODE COUNTRY_DB/country/iso_code
 <Location />
         # Alles verbieten außer Deutschland
         SetEnvIf MM_COUNTRY_CODE DE AllowCountry
         Deny from all
         Allow from env=AllowCountry
         Allow from 192.168.1.0/24
 </Location>
Danach den Apache die Konfiguration neu laden lassen:<br>
 systemctl reload apache2.service
und schon ist das ganze aktiv!<br>
<br>
Zum testen könnt Ihr statt dem <code>DE</code> ein <code>CN</code> für China eintragen - beim Aufruf der Seite von extern kommt dann ein:<br>
:[[Datei:ClipCapIt-210130-142119.PNG]]<br>
<br>
Für jedes weitere Land welches Ihr erlauben wollt fügt einfach eine entsprechende Zeile mit {{Key|SetEnvIf}} hinzu.<br>
Die Zeile<br>
 Allow from 192.168.1.0/24
ist ein Beispiel wie Ihr den Zugriff z.B. aus dem lokalen Netzwerk erlaubt.<br>
Weiter Beispiele und die Komplette Anleitung findet Ihr auch unter https://github.com/maxmind/mod_maxminddb<br>
----
==Zugriff auf Webseite beschränken - bestimmte Länder verbieten==
Hier ein Beispiel welches anders herum funktioniert, es werden die Länder aufgeführt die verboten sind.<br>
 # GeoIp Blocking
 MaxMindDBEnable On
 MaxMindDBFile COUNTRY_DB /usr/share/GeoIP/GeoLite2-Country.mmdb
 MaxMindDBEnv MM_COUNTRY_CODE COUNTRY_DB/country/iso_code
 <Location />
         # RU und HK verboten
         SetEnvIf MM_COUNTRY_CODE DE AllowCountry
         SetEnvIf MM_COUNTRY_CODE ^(RU|HK) BlockCountry
         Deny from env=BlockCountry
         Allow from 192.168.1.0/24
 </Location>
Danach den Apache die Konfiguration neu laden lassen:<br>
 systemctl reload apache2.service
----

==Länderliste==
Hier eine Quelle wo man die notwendigen Ländercodes findet (die mit den 2 Buchstaben):<br>
 https://countrycode.org/
<br>
----
==Quellen==
* https://dev.maxmind.com/geoip/geoipupdate/
* https://github.com/maxmind/geoipupdate
* https://github.com/maxmind/mod_maxminddb
* https://countrycode.org/
----

==Kommentare==
<comments />