Форум Сайтостроение Администрирование серверов

Как проверить IP на забаненность в iptables?

12
M
На сайте с 28.01.2006
Offline
106
Member
23332

На новом сервере прикрутил к iptables GeoIP, чтобы можно было блокировать доступ из стран правилами вида:

iptables -A INPUT -m geoip --source-country CN -j REJECT

Заблокировал так несколько азиатских стран, вроде все нормально работает. Но сегодня позвонил пользователь с жалобой на то, что на мой сайт стало невозможно зайти через GPRS Билайна (IP: 217.118.81.18).

Есть ли способ проверить наличие в текущих правилах iptables блокировки конкретного IP?

Может существует какая-нибудь команда типа: iptables -info -s 217.118.81.18, которая выдавала бы результат о том, заблокирован этот IP или нет?

Или есть какай-нибудь альтернативный вариант проверки?

Помогите плиз разобраться с этой проблемой. Как я понимаю, у Билайна через этот айпи ходят чуть ли не все пользователи мобильного интернета, так что его блокировка крайне нежелательна.

p.s.

На сайте maxmind.com, чьи базы используются в GeoIP модуле iptables, этот айпишник определяется как принадлежащий России, так что вроде блокироваться он не должен...

Ограничений на количество одновременных соединений с одного IP в iptables нет. Через fail2ban он тоже не забанен.

M
На сайте с 16.09.2009
Offline
278
myhand
#1

Во-первых - правила iptables в студию:

iptables -vnL
Member:

Есть ли способ проверить наличие в текущих правилах iptables блокировки конкретного IP?

Используйте штатные утилиты geoip (geoiplookup). Наконец, попросу добавьте правило INPUT -s 217.118.81.18 -j ACCEPT сразу до процитированного выше правила geoip. Проблема изчезла - значит дело в geoip или в правилах дальше по списку...

Абонементное сопровождение серверов (Debian) Отправить личное сообщение (), написать письмо ().
M
На сайте с 28.01.2006
Offline
106
Member
#2

iptables -vnL: 

Chain INPUT (policy ACCEPT 6675K packets, 2024M bytes)

 pkts bytes target     prot opt in     out     source               destination

 2722  136K fail2ban-ssh  tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           multiport dports 22

7084K 2097M ISPMGR     all  --  *      *       0.0.0.0/0            0.0.0.0/0

 391K   73M ACCEPT     tcp  --  *      *       85.114.141.133       0.0.0.0/0           tcp dpt:8080

    0     0 ACCEPT     tcp  --  *      *       127.0.0.1            0.0.0.0/0           tcp dpt:8080

  194  9252 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:8080 reject-with icmp-port-unreachable

 1398 80904 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: CN reject-with icmp-port-unreachable

  263 13308 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: KR reject-with icmp-port-unreachable

    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: KP reject-with icmp-port-unreachable

 1392 72050 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: TW reject-with icmp-port-unreachable

  452 21868 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: BR reject-with icmp-port-unreachable

   50  2585 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: HK reject-with icmp-port-unreachable

  902 43748 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: IN reject-with icmp-port-unreachable

  243 15161 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: JP reject-with icmp-port-unreachable

  566 32910 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: MY reject-with icmp-port-unreachable

   26  1460 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: SG reject-with icmp-port-unreachable

  159  8384 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: TR reject-with icmp-port-unreachable

  172  8364 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: AR reject-with icmp-port-unreachable

  289 13926 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: MX reject-with icmp-port-unreachable

   24  1152 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: AL reject-with icmp-port-unreachable

    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: AO reject-with icmp-port-unreachable

    6   384 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: AP reject-with icmp-port-unreachable

   29  1516 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: BD reject-with icmp-port-unreachable

    0     0 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: CD reject-with icmp-port-unreachable

   61  3028 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: CL reject-with icmp-port-unreachable

   81  3968 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: CO reject-with icmp-port-unreachable

   12   576 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: CR reject-with icmp-port-unreachable

   17   908 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: EC reject-with icmp-port-unreachable

   19  1361 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: EG reject-with icmp-port-unreachable

  672 33860 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: ID reject-with icmp-port-unreachable

    6   336 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: IQ reject-with icmp-port-unreachable

  237 13444 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: IR reject-with icmp-port-unreachable

   18   864 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: KE reject-with icmp-port-unreachable

   37  2100 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: KW reject-with icmp-port-unreachable

   16   808 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: PA reject-with icmp-port-unreachable

   97  4760 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: PE reject-with icmp-port-unreachable

  158  8094 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: PH reject-with icmp-port-unreachable

  490 23568 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: PK reject-with icmp-port-unreachable

 8600  437K REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: PR reject-with icmp-port-unreachable

  138  7108 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: TH reject-with icmp-port-unreachable

  629 30072 REJECT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           Source country: VN reject-with icmp-port-unreachable





Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)

 pkts bytes target     prot opt in     out     source               destination



Chain OUTPUT (policy ACCEPT 3852K packets, 3198M bytes)

 pkts bytes target     prot opt in     out     source               destination

3852K 3198M ISPMGR     all  --  *      *       0.0.0.0/0            0.0.0.0/0



Chain ISPMGR (2 references)

 pkts bytes target     prot opt in     out     source               destination

   41  1948 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:3306 reject-with icmp-port-unreachable

    0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:111 reject-with icmp-port-unreachable

   23  1268 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:51661 reject-with icmp-port-unreachable



Chain fail2ban-ssh (1 references)

 pkts bytes target     prot opt in     out     source               destination

 2722  136K RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0

а geoiplookup - -bash: geoiplookup: command not found

M
На сайте с 16.09.2009
Offline
278
myhand
#3
Member:
iptables -vnL

Вроде нет иных кандидатов на источник проблемы, кроме geoip.

Member:
а geoiplookup - -bash: geoiplookup: command not found

Установите утилиты, работающие с geoip-базами (yum search). И посмотрите. На сайте максминд - веб-интерфейс работает с коммерческой базой.

Вы вообще абсолютно уверены, что проблема не где-то на уровне сервера, например? Бан-лист какой-нибудь, хоть на уровне .htaccess. Лимиты на число соединений и т.п. "Стало невозможно зайти" на практике - может означать кучу разных вещей.

[Удален]
#4

iptables-save - список забаненых IP..

Himiko
На сайте с 28.08.2008
Offline
560
Himiko
#5
Svig:
iptables-save - список забаненых IP..

Во как оказывается :)

iptables -Ln что показывает?

Да и там список правил iptables, а не список забаненых ip. Тем более, если речь про geoip.

Профессиональное администрирование серверов (https://systemintegra.ru). Круглосуточно. Отзывы (/ru/forum/834230) Лицензии (http://clck.ru/Qhf5) ISPManager,VDSManager,Billmanager e.t.c. по низким ценам.
[Удален]
#6

Я просто имею виду если банить IP методом iptables -A INPUT -s xxx.xxx.xxx.xxx -j DROP и т.п.. то забаненый IP можно увидеть командой: iptables-save

Himiko
На сайте с 28.08.2008
Offline
560
Himiko
#7
Svig:
Я просто имею виду если банить IP методом iptables -A INPUT -s xxx.xxx.xxx.xxx -j DROP и т.п.. то забаненый IP можно увидеть командой: iptables-save

Точно так же, как и командой, которую привели выше. (iptables -vnL)

MD
На сайте с 11.04.2010
Offline
22
mago de sombra
#8
Himiko:

iptables -Ln что показывает

iptables -nL --line-numbers

iptables -Ln не вернёт ничего, кроме ошибки

Andreyka
На сайте с 19.02.2005
Offline
822
Andreyka
#9

iptables-save | grep IP

Не стоит плодить сущности без необходимости
kxk
На сайте с 30.01.2005
Offline
970
kxk
#10

Эхх все были близко, да никто неугадал :)

ТС, вот комманда :

iptables -L -n -v|grep ip

Вместо ip нужный ip или подсеть

kxk добавил 20.04.2011 в 19:05

Andreyka, А, save зачем ?

Ваш DEVOPS
12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий