Форум Сайтостроение Администрирование серверов

научить iptables блокировать диапазон ip

123 4
N
На сайте с 06.05.2007
Offline
419
netwind
#11

Гесер, в ядро. можно через последние строчки вывода dmesg проверить.

а оттуда перенаправляется и проходит через syslog, если ничего не сломано.

Кнопка вызова админа ()
Г
На сайте с 25.10.2007
Offline
68
Гесер
#12

хм...

сделал вот что

for x in `grep -v ^# $BLACKLIST | awk '{print $1}'`; do
echo "Denying $x..."
/sbin/iptables -I INPUT -m iprange --src-range $x -j LOG
done

и все равно блок😮

http://vpsinfo.nixhost.net/firewall.vps это готовый, дописал свое после

# 1) loopback
${FWIN} -i lo ${OK}
${FWIN} -d 127.0.0.0/8 ${NO}

Вот еще, вывод status, когда диапазон писался через слеш,что как я понял, неверно:


Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
DROP all -- 0.0.0.0/0 127.0.0.0/8
DROP all -- 1.8.0.0/1.15.255.254 0.0.0.0/0
DROP all -- 88.219.146.0/88.219.255.254 0.0.0.0/0
DROP all -- 89.219.128.0/89.219.159.254 0.0.0.0/0
DROP all -- 90.219.238.0/90.219.255.254 0.0.0.0/0
..
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:245
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:245 flags:!0x17/0x02
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:53
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:3306
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp dpt:3306
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:53 dpts:1024:65535 flags:!0x17/0x02
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp spt:53 dpts:1024:65535
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:25
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:25 dpts:1024:65535 flags:!0x17/0x02
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spts:1024:65535 dpt:113
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:113 dpts:1024:65535 flags:!0x17/0x02
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:110
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:995
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:143
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:993
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:80 dpts:1024:65535 flags:!0x17/0x02
ACCEPT icmp -- 0.0.0.0/0 178.63.221.91 icmp type 0
ACCEPT icmp -- 0.0.0.0/0 178.63.221.91 icmp type 3
ACCEPT icmp -- 0.0.0.0/0 178.63.221.91 icmp type 8
ACCEPT icmp -- 0.0.0.0/0 178.63.221.91 icmp type 11
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:81
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:443
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:20
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:20 dpts:1024:65535 flags:!0x17/0x02
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp dpt:20
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp spt:20 dpts:1024:65535
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:21
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:21 dpts:1024:65535 flags:!0x17/0x02
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp dpt:21
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp spt:21 dpts:1024:65535
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:1024:65535 flags:!0x16/0x02
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpts:1024:65535

Chain FORWARD (policy DROP)
target prot opt source destination

Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
DROP all -- 127.0.0.0/8 0.0.0.0/0
ACCEPT all -- 178.63.221.91 0.0.0.0/0

Г
На сайте с 25.10.2007
Offline
68
Гесер
#13

При указании директивы LOG правила исполнятся вроде как не должны, или я не прав?

N
На сайте с 06.05.2007
Offline
419
netwind
#14

Гесер, не понятно, что вы имели ввиду, но при попадании пакета в правило с -j LOG :

отправляется сообщение

счетчик увеличивается

пакет не блокируется и может пройти дальше по нижеследующим правилам в цепочке.

Г
На сайте с 25.10.2007
Offline
68
Гесер
#15

netwind, вот и я про то же самое, но #13 говорится об обратном. Как это понимать?

N
На сайте с 06.05.2007
Offline
419
netwind
#16

Гесер, откуда мне знать что там наворочали в очередном всемогущем скрипте для iptables ? напишите с нуля сами набор цепочек. во время этого процесса вы разберетесь и все станет на свои места.

В посте номер #13 даже слово LOG нигде не встречается, например. Рассуждать о какой-то логике тут вообще нельзя.

Г
На сайте с 25.10.2007
Offline
68
Гесер
#17

netwind,

Гесер:
/sbin/iptables -I INPUT -m iprange --src-range $x -j LOG

а это что?

$x это диапазон ip

на status и ниже внимания не обращаем

Ок, попробуем по шагам.

Сделал в консоли просто,разрешение, одно правило.


~# /sbin/iptables -I INPUT -m iprange --src-range 178.125.0.1-178.125.255.254 -j ACCEPT
iptables: No chain/target/match by that name

хм


/lib/modules/2.6.18-164.15.1.el5.028stab068.9ent# ls
modules.alias modules.ieee1394map modules.ofmap modules.symbols
modules.ccwmap modules.inputmap modules.pcimap modules.usbmap
modules.dep modules.isapnpmap modules.seriomap
N
На сайте с 06.05.2007
Offline
419
netwind
#18

Гесер, надеюсь у вас все будет хорошо.

Г
На сайте с 25.10.2007
Offline
68
Гесер
#19

Судя по тому, что мне перевел гугл, не хватает модуля iprange. Ядро пересобрать у меня нет возможности, iptables компилить из исходников желания. Другие варианты будут?

Zaqwr
На сайте с 08.08.2007
Offline
111
Zaqwr
#20

Гесер, что-то я не пойму, у вас Centos или Debian ??

find /lib/modules/ -name "*iprange*"

.п.с, в Debian из коробки всё есть

Администрирование, Linux, Cisco, Juniper
123 4

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий