iran-ipset

Was es ist

iran-ipset holt die für den Iran registrierten IPv4-Präfixe und hält eine Address-List in MikroTik RouterOS damit synchron, damit der Router inländische Ziele anders behandeln kann – etwa direkt statt über ein VPN routen oder SSH nach Land beschränken.

RIPE (+ optional lists)  →  iran-ipset  →  REST or SSH  →  /ip firewall address-list

Quellen

Hauptquelle ist die RIPEstat-country-resource-list für IR. Zwei Community-Aggregate (ipverse und ipdeny) werden standardmäßig hinzugenommen, um Lücken zu füllen. Die Quellen lassen sich durch URLs oder ripe://CC-Einträge ersetzen; RIPE-Bereichsangaben, die keine CIDRs sind, werden übersprungen.

Anwendung auf den Router

• Standardmäßig wird zusammengeführt. Es werden nur fehlende Präfixe ergänzt; nichts wird entfernt.
• Markierte Zeilen. Jede vom Werkzeug angelegte Zeile trägt einen Kommentar (standardmäßig iran-ipset), daher entfernt --prune nur veraltete Zeilen, die es selbst angelegt hat, und lässt manuelle Einträge in Ruhe.
• Zwei Transportwege. RouterOS-REST (bevorzugt, wenn das Werkzeug als Container auf dem Router läuft) oder SSH von einem anderen Rechner, wobei die Änderung als ein .rsc-Skript hochgeladen und importiert wird.
• --serve läuft sofort und danach alle INTERVAL (Standard: 7 Tage).
• --dry-run zeigt, was sich ändern würde.

Sicher scheitern

Das Werkzeug verweigert Anwenden und Export, wenn weniger als MIN_PREFIXES (Standard 50) Präfixe erfolgreich gelesen werden, sodass eine defekte Antwort einer Quelle die Liste nicht leeren kann. Das Design bevorzugt Unvollständigkeit: Ein fehlendes iranisches Präfix schickt nur etwas Inlandsverkehr durchs VPN, ein überzähliges würde ein ausländisches Ziel direkt über das WAN schicken.

Wöchentliche öffentliche Liste

Ein geplanter CI-Job veröffentlicht die zusammengeführte Liste jede Woche (und wenn sich Quellen oder Code ändern) als fortlaufendes GitHub-Release:

curl -fsSL -o iran.txt \
  https://github.com/reloadlife/iran-ipset/releases/download/lists/iran.txt

Oder lokal mit go run . -export dist/iran.txt erzeugen – ganz ohne Router.

Betrieb

Als Binary auf einem beliebigen Rechner im LAN, als Multi-Arch-Docker-Image (linux/amd64, linux/arm64) oder als RouterOS-7-Container direkt auf dem Router.

Technik

Go-Standardbibliothek, RouterOS-REST-API / SSH, GitHub Actions. Lizenziert unter AGPL-3.0-or-later.