Гесер

Рейтинг
68
Регистрация
25.10.2007
научить iptables блокировать диапазон ip

netwind, вот и я про то же самое, но #13 говорится об обратном. Как это понимать?

научить iptables блокировать диапазон ip

При указании директивы LOG правила исполнятся вроде как не должны, или я не прав?

Попал в бан к mail.ru

М-да, мылору тупит. Ща нормальное с сайта заблокировало, а спам нет. Видимо, надо его запрещать при регистрации.

Попал в бан к mail.ru

бан автоматом снялся. сам себе через пыхпых письмо отпрвил - дошло.

Попал в бан к mail.ru

Ложная тревога. Это я, недосмотрев доконца запаниковал.😂 Была попытка массовой рассылки спама одним из пользователей.

Тему можно закрывать.

PS: угу, нарушил, согласен

научить iptables блокировать диапазон ip

хм...

сделал вот что

for x in `grep -v ^# $BLACKLIST | awk '{print $1}'`; do
echo "Denying $x..."
/sbin/iptables -I INPUT -m iprange --src-range $x -j LOG
done

и все равно блок😮

http://vpsinfo.nixhost.net/firewall.vps это готовый, дописал свое после

# 1) loopback
${FWIN} -i lo ${OK}
${FWIN} -d 127.0.0.0/8 ${NO}

Вот еще, вывод status, когда диапазон писался через слеш,что как я понял, неверно:


Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
DROP all -- 0.0.0.0/0 127.0.0.0/8
DROP all -- 1.8.0.0/1.15.255.254 0.0.0.0/0
DROP all -- 88.219.146.0/88.219.255.254 0.0.0.0/0
DROP all -- 89.219.128.0/89.219.159.254 0.0.0.0/0
DROP all -- 90.219.238.0/90.219.255.254 0.0.0.0/0
..
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:245
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:245 flags:!0x17/0x02
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:53
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:3306
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp dpt:3306
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:53 dpts:1024:65535 flags:!0x17/0x02
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp spt:53 dpts:1024:65535
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:25
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:25 dpts:1024:65535 flags:!0x17/0x02
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spts:1024:65535 dpt:113
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:113 dpts:1024:65535 flags:!0x17/0x02
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:110
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:995
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:143
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:993
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:80 dpts:1024:65535 flags:!0x17/0x02
ACCEPT icmp -- 0.0.0.0/0 178.63.221.91 icmp type 0
ACCEPT icmp -- 0.0.0.0/0 178.63.221.91 icmp type 3
ACCEPT icmp -- 0.0.0.0/0 178.63.221.91 icmp type 8
ACCEPT icmp -- 0.0.0.0/0 178.63.221.91 icmp type 11
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:81
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:443
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:20
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:20 dpts:1024:65535 flags:!0x17/0x02
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp dpt:20
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp spt:20 dpts:1024:65535
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp dpt:21
ACCEPT tcp -- 0.0.0.0/0 178.63.221.91 tcp spt:21 dpts:1024:65535 flags:!0x17/0x02
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp dpt:21
ACCEPT udp -- 0.0.0.0/0 178.63.221.91 udp spt:21 dpts:1024:65535
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:1024:65535 flags:!0x16/0x02
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpts:1024:65535

Chain FORWARD (policy DROP)
target prot opt source destination

Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
DROP all -- 127.0.0.0/8 0.0.0.0/0
ACCEPT all -- 178.63.221.91 0.0.0.0/0

научить iptables блокировать диапазон ip

А куда iptables пишет лог(LOG --log-level=debug), что-то не соображу. В syslog нету

научить iptables блокировать диапазон ip

Выкладываю blacklist -

http://rapidshare.com/files/406585936/blacklist.txt

netwind:
Я всегда на удаленных серверах сначала заменяю DROP на LOG и тестирую.

Т.е. в консоли просто написать iptables -I INPUT -m iprange --src-range 0.0.0.0-50.0.0.0 -j LOG и посмотреть что будет?🚬

myhand:
Еще полезно создавать отдельную цепочку логически объединенных правил.А дальше можно подключить все это дело в INPUT и открутить обратно одной командой, типа

Для меня пока это сложно.:(

madoff:
и что бы вас не банило добавить надо в блек лист вашу подсеть первой, что бы вы как бы были уже в бане тогда скрипт не будет добовлять в Iptables вас

Имелся ввиду наверное белый список. Ну так я же не в blacklist'e

Electronn:
создайте новую цепочку , как и говорили до этого. После создания цепочки просто с флагом -j RETURN свой IP выводите из нее, а дальше пусть что хочется блокируется)

а можно на кошках?

абузоустойчивый VPS/хостинг

skpnm, файлообменники не интересуют как класс.

kxk, ну да, если это делать апачем.:)

абузоустойчивый VPS/хостинг
выкачивать в больших количествах?

ну не на столько в больших. Не больше 1Тб в месяц.Может меньше, пока сказать сложно ;)

Есть хостеры,у которых трафик "не ограничен".

1... 67891011121314 15
Всего: 149