научить iptables блокировать диапазон ip

Г

68

Гесер

12 июля 2010, 17:10

6568

Извне. Значит должно выглядить так:

iptables -I INPUT -m iprange --src-range 0.0.0.0-50.0.0.0 -j DROP

но при этом блокируется вообще всякий доступ извне. :gm: Включая меня.

Может скрипт не так записан(кусок отвечающий за диапазон):

#!/bin/bash

BLACKLIST=/usr/local/etc/blacklist.txt

IPTABLES="/sbin/iptables"

...

for x in `grep -v ^# $BLACKLIST | awk '{print $1}'`; do

echo "Denying $x..."

/sbin/iptables -I INPUT -m iprange --src-range $x -j DROP

done

...

blacklist.txt имеет формат

ip1-ip22

ip3-ip44

На борту debian 5

В чем проблема? Спасибо

M

278

myhand

12 июля 2010, 17:59

#1

Дак может Вы просто попали под раздачу бана?

Вы хоть запихните себя в whitelist для приличия, тем более ежели баните сразу по пол-интернета :D

Абонементное сопровождение серверов (Debian) Отправить личное сообщение (), написать письмо ().

N

419

netwind

12 июля 2010, 18:01

#2

на вид этот кусок нормальный. если только -m iprange не подгрузился и команда получилась iptables -I INPUT -j DROP - разумеется она все заблокирует.

Я всегда на удаленных серверах сначала заменяю DROP на LOG и тестирую. Это дает возможность проверить какие пакеты блокируются, но не потерять доступ даже в очень сложных схемах.

Кнопка вызова админа ()

M

278

myhand

12 июля 2010, 18:12

#3

netwind:
на вид этот кусок нормальный. если только -m iprange не подгрузился и команда получилась iptables -I INPUT -j DROP - разумеется она все заблокирует.

Подгружается оно давно уже автоматом. Это откуда-то из "времен очаковских... aka ядро 2.4.x".

netwind:
Я всегда на удаленных серверах сначала заменяю DROP на LOG и тестирую. Это дает возможность проверить какие пакеты блокируются, но не потерять доступ даже в очень сложных схемах.

Еще полезно создавать отдельную цепочку логически объединенных правил


iptables -N ban-jul-12
iptables -P ban-jul-12 ACCEPT
iptables -I ban-jul-12 -m ... -j DROP

А дальше можно подключить все это дело в INPUT и открутить обратно одной командой, типа


iptables -I INPUT 123 ban-jul-12

PS: Полезно также помнить про man iptables-apply и LOG можно сразу заменять на DROP без особых опасений ;)

N

419

netwind

12 июля 2010, 18:22

#4

myhand:
PS: Полезно также помнить про man iptables-apply и LOG можно сразу заменять на DROP без особых опасений

прикольно. с очаковских времен, что только не придумывал для имитации этого.

Но как им пользоваться если скрипт загружает не простыню из файла, а набор сложных правил с модулями и тд, вот как тут у ТС?

сформировать простыню сразу скриптом уже сложнее.

дополнительные цепочки - излишняя работа для iptables.

Яндекс кобласит include в php большого Вопрос по js, как

M

235

madoff

12 июля 2010, 18:37

#5

покажите сформированный список "cat /usr/local/etc/blacklist.txt" , и что бы вас не банило добавить надо в блек лист вашу подсеть первой, что бы вы как бы были уже в бане тогда скрипт не будет добовлять в Iptables вас

Администратор Linux,Freebsd. построения крупных проектов.

eTarget 2011:Панельная дискуссия «Стратегия eTarget 2011: Круглый стол Могут ли «плохие» входящие

91

Electronn

12 июля 2010, 18:40

#6

создайте новую цепочку , как и говорили до этого. После создания цепочки просто с флагом -j RETURN свой IP выводите из нее, а дальше пусть что хочется блокируется)

Г

68

Гесер

12 июля 2010, 19:27

#7

Выкладываю blacklist -

http://rapidshare.com/files/406585936/blacklist.txt

netwind:
Я всегда на удаленных серверах сначала заменяю DROP на LOG и тестирую.

Т.е. в консоли просто написать iptables -I INPUT -m iprange --src-range 0.0.0.0-50.0.0.0 -j LOG и посмотреть что будет?🚬

myhand:
Еще полезно создавать отдельную цепочку логически объединенных правил.А дальше можно подключить все это дело в INPUT и открутить обратно одной командой, типа

Для меня пока это сложно.:(

madoff:
и что бы вас не банило добавить надо в блек лист вашу подсеть первой, что бы вы как бы были уже в бане тогда скрипт не будет добовлять в Iptables вас

Имелся ввиду наверное белый список. Ну так я же не в blacklist'e

Electronn:
создайте новую цепочку , как и говорили до этого. После создания цепочки просто с флагом -j RETURN свой IP выводите из нее, а дальше пусть что хочется блокируется)

а можно на кошках?

M

278

myhand

12 июля 2010, 20:01

#8

netwind:
прикольно. с очаковских времен, что только не придумывал для имитации этого.
Но как им пользоваться если скрипт загружает не простыню из файла, а набор сложных правил с модулями и тд, вот как тут у ТС?
сформировать простыню сразу скриптом уже сложнее.

Ну, "как у ТС" - там все совсем просто. Пишем скриптом файл прямо в формате iptables-save/restore. Или просто - строчка awk переделает его исходный *.txt в то что нужно.

Но в общем, эта штука расчитана больше на ручную работу с правилами. Сдампил, поломал, залил, поимел проблему с доступом - откатили изменение.

netwind:
дополнительные цепочки - излишняя работа для iptables.

Почему? Когда работают - особого эффекта от цепочек по сравнению с "плоскими" правилами - особо не заметно. Когда не работают - каши не просят. Имеем в любом случае профит в виде человеческого управления правилами.

eTarget 2011:Панельная дискуссия «Стратегия eTarget 2011: Круглый стол Могут ли «плохие» входящие

111

Zaqwr

13 июля 2010, 04:33

#9

чем плох ipset ?

Администрирование, Linux, Cisco, Juniper

Г

68

Гесер

13 июля 2010, 14:20

#10

А куда iptables пишет лог(LOG --log-level=debug), что-то не соображу. В syslog нету

Вышел новый Яндекс Браузер с YandexGPT и YandexART

Все что нужно знать о DDоS-атаках грамотному менеджеру