Vaily

Спасибо за отклик!

Спасибо огромное!

Вы правы - работать с iptables в hestia - удовольствие.  Всё организовано просто и удобно.
Создала нужные правила, проверила - все окей. И чего я раньше с ним работать боялась 😊

Иван, спасибо за помощь! Очень выручили 👍

Если не затруднит, подскажите, пожалуйста, команду в cron отвечающую за частоту проверки изменений?

Иван, раз знакомы с работой Hestia, то уточню пару моментов , если Вас не затруднит:

Насколько поняла, вначале нужно создать список для блокировки

и затем его подключить

1.  В какую папку на сервере лучше положить файл со списком или без разницы?

2. В правиле блокировки, какой протокол выбрать: TCP, UDP, ICMP? про них читала, но до конца так и не поняла какой лучше использовать

3. В строке Service что указать?

4.  Если файлов несколько, то для каждого из них нужно создать отдельное правило?

5. Если Hestia обращается к файлу раз в сутки, то внесенные в файл изменения применятся не сразу, а только через сутки?

6. Какой ответ получит заблокированный ip: 403 или iptables оборвет соединение 444?

Спасибо всем отписавшимся, но всё же... пожалуйста, читайте название темы и сопровождающий пост ТС чтобы не создавать ненужные сообщения.

Меня больше интересует вопрос производительности, об этом написала постом выше. И пожалуйста, не разводите флуд, только по существу. Спасибо.

С iptables я никогда не работала. Например в nginx можно сразу оборвать соединение (444) и затратить меньше ресурсов сервера. Но возможно, что iptables срабатывает до nginx-а и в результате уменьшается время ответа клиенту не попадающему под блокировку...  Клиент попадающий под блокировку - проходит наименьший путь на сервере, а клиент непопадающий под блокировку - получает ответ сервера без лишней задержки.

Да, правила пишу в отдельный location. 

По поводу отдельного файла в conf.d, поняла. Пока оставлю как есть, мне так проще-спокойнее.

Вы верно поняли ситуацию/задачу.
Нагло воруют мои работы (шаблоны сайтов).  Парсят с помощью программ, некоторые подключаются напрямую. Блокирую по user-агенту и referer. Понимаю, что данные способы малоэффективны и при желании эти блокировки можно обойти. Действую по мере своих знаний и возможностей, наблюдать за кражей молча не получается. 

Спасибо за Ваше мнение, но к моей ситуации это не имеет отношения/значения.

Всем привет!

В итоге сделала через шаблон .tpl(stpl)
в секцию:
server {
...
location ~* ^.+\.(jpeg|jpg|png|svg|webp|gif|css)$ {
добавила конфигурацию:

valid_referers none blocked server_names ~(mysite|yandex|google|...и прочие);
if ($invalid_referer) {
return 444;
}

Теперь возникла задача ограничить доступ по конкретным referer дополнительно.

Думаю сделать с помощью map.
1. В шаблоне .tpl(.stpl) в секцию server { прописать:

if ($bad_referers = 1) {
return 444;
}

2. А в конфигурационном файле nginx.conf в секцию http { прописать:

map $http_referer $bad_referers {
hostnames;
default 0;
~*(badsite1.com|badsite2.com) 1;
}

Подскажите, пожалуйста, не будет ли конфликта между правилами? Например, если referer не попадает под блокировку в map $http_referer, но при этом не проходит проверку в valid_referers. Или наоборот.

Может для моей задачи есть более элегантное решение?

valid_referers none blocked server_names *.mysite.com ~\.yandex\. ~\.google\.;

Так тоже не работает. Хоть и делала по документации https://nginx.org/ru/docs/http/ngx_http_referer_module.html