Закрыть ВПС с базами

12
D
На сайте с 28.06.2008
Offline
1114
2315

Есть 2 ВПС - один с сайтами, другой с базами и пхпмайдамин.

Так и работают...

Доступ к майдамин закрыл через апач - открыл только своему IP

Про ВПС с базами узнали китайцы и постоянно сканируют его иногда создавая довольно сильную нагрузку.

Как закрыть ВПС - оставив его открыт для ВПС с сайтами и для меня?

iptables установлен, дебиан 8

A9
На сайте с 04.01.2012
Offline
317
#1

Запретите подключения со всех адресов, кроме Вашего и сервера с сайтами.

Задаете политику, что не разрешено, то запрещено. Разрешаете сервер с сайтами и свой IP, первыми правилами:

iptables -A INPUT -s 1.2.3.4 -j ACCEPT
iptables -P INPUT -j DROP

Здесь можно подробно про IPTABLES почитать:

http://www.opennet.ru/docs/RUS/iptables/

https://hstq.net - аренда серверов от 9.99$! Нет KYC! Много стран размещения на выбор! Акция - удвоим оплаченный период! Заказывайте!
D
На сайте с 28.06.2008
Offline
1114
#2

Что это значит?


root@mysql ~ # iptables -P INPUT -j DROP
iptables v1.4.21: -P requires a chain and a policy
Try `iptables -h' or 'iptables --help' for more information.
baas
На сайте с 17.09.2012
Offline
171
#3
Dram:
Что это значит?

Покажите нынешнию обстановку

iptables -L

Рекомендую всегда использовать фаервол, закрывать все ненужно и ограничивать все нужное.

Настройка BSD систем. (https://www.fryaha.ru) Знание сила, незнание Рабочая сила!
D
На сайте с 28.06.2008
Offline
1114
#4

root@mysql ~ # iptables -L

Chain INPUT (policy ACCEPT)

target prot opt source destination

ACCEPT tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/RST limit: avg 1/sec burst 5

DROP tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/RST

DROP all -- 59.45.175.34 anywhere

Chain FORWARD (policy ACCEPT)

target prot opt source destination

Chain OUTPUT (policy ACCEPT)

target prot opt source

В
На сайте с 04.07.2017
Offline
23
#5

Если точно китайцы - баньте сразу диапазонами.

Например:

iptables -I INPUT -m iprange --src-range 221.192.0.0-221.195.255.255 -j DROP

D
На сайте с 28.06.2008
Offline
1114
#6
Вяземский:
Если точно китайцы - баньте сразу диапазонами.

Например:
iptables -I INPUT -m iprange --src-range 221.192.0.0-221.195.255.255 -j DROP

Мне не нужны полумеры - хочу закрыть от всех и разрешить двум IP

Но как подсказали выше че то не выходит...

Оптимизайка
На сайте с 11.03.2012
Offline
396
#7
Dram:
Что это значит?

Это значит что -j тут не нужен

iptables -P INPUT DROP

только сначала убедитесь что добавили все свои ip как разрешенные ;)

⭐ BotGuard (https://botguard.net) ⭐ — защита вашего сайта от вредоносных ботов, воровства контента, клонирования, спама и хакерских атак!
D
На сайте с 28.06.2008
Offline
1114
#8

Все ли правильно?

root@mysql ~ # iptables -P INPUT DROP
root@mysql ~ # iptables -n -L -v --line-numbers
Chain INPUT (policy DROP 32 packets, 2388 bytes)
num pkts bytes target prot opt in out source destination
1 146K 5824K ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x04 limit: avg 1/sec burst 5
2 3949 158K DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x04
3 169 18288 ACCEPT all -- * * 55.55.0.0/16 0.0.0.0/0
4 4859K 1104M ACCEPT all -- * * НУЖНЫЙ IP 0.0.0.0/0
5 0 0 ACCEPT all -- * * НУЖНЫЙ IP 0.0.0.0/0

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 25827 packets, 101M bytes)
num pkts bytes target prot opt in out source destination

смущает что не вижу куда прописалось - iptables -P INPUT DROP ?

Twickbot
На сайте с 13.03.2017
Offline
56
#9
Dram:
смущает что не вижу куда прописалось - iptables -P INPUT DROP ?

Iptables считывает все правила построчно. Поэтому, сначала пропишите все правила, разрешающие соединения с ваших адресов, а в конце поставьте, что все остальное drop (ситуация, когда не сработало ни одно разрешающее правило).

Кстати, рекомендую вводить правила с помощью *.sh скрипта, а не из командной строки.

Так гораздо удобнее.

Пример нужен?

Автоматизация работы в браузере. Пишу парсеры, постеры, кликеры, лайкеры, и т.п.
Оптимизайка
На сайте с 11.03.2012
Offline
396
#10
Dram:
смущает что не вижу куда прописалось - iptables -P INPUT DROP ?

Это означает что политика (policy) по умолчанию - отбрасывать пакеты. Т.е. те которые не разрешены (в цепочке INPUT) будут отбрасываться. Поэтому кстати там правило "2 3949 158K DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x04" не нужно.

12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий