LINUX.ORG.RU
Форум — Admin  

Бан диапазона подсетей с помощью IPTABLES


1

1

Здравствуйте.

Стоит задача ограничить целому диапазону подсетей, любой вид входящего трафика на любой из портов машины. Пробую так: iptables -A INPUT -m iprange --src-range 31.23.128.0-31.23.255.255 -j DROP

Но почему-то не помогло, сегодня в логах обнаружил IP злоумышленника из этой подсети снова. Прошу помощи...


Ответ на: комментарий от beastie

хотя правильней будет

-I INPUT -s 31.23.128.0/17 -j DROP

ибо наверьняка у тебя в начале куча разрешающих правил, через которые и пролез «злоумышленник»

tl;dr

сначала DROP-ы, а уж за ними ACCEPT

beastie ★★★★★
()
Ответ на: комментарий от beastie

«iprange» затем, что я не понимаю, чисто логически, как считается вот эта беда - «/17» :) Вот такой я хреновый админ Linux :) Мне проще как в армии «Отсюда и до забора».

xiloid
() автор топика
Ответ на: комментарий от beastie

У меня в iptables вообще ничего нет, после прописывания «iptables -A INPUT -m iprange --src-range 31.23.128.0-31.23.255.255 -j DROP» появилась одна единственная строчка: 1 0 0 DROP all  — * * 0.0.0.0/0 0.0.0.0/0 source IP range 31.23.128.0-31.23.255.255

Так что каким образом пролез Хацкер - не понятно...

xiloid
() автор топика
Ответ на: комментарий от xiloid

да, ipcalc тебе в помощь

а считать его просто: сеть 31.23.128.0-31.23.255.255 имеет маску 255.255.128.0, она же 0xffff8000 — а в этмм числе 17 единичек

beastie ★★★★★
()
Ответ на: комментарий от xiloid

ну, это гадание на кофейной гуще, для какой либо конкретики показывай iptables-save и ту заветную строчку из лога.

beastie ★★★★★
()
Ответ на: комментарий от xiloid

> «iprange» затем, что я не понимаю, чисто логически, как считается вот эта беда - «/17»


Админ-дизайнер? Админ-бухгалтер? Админ-лесоруб?
Этому же нибось даже в школе на уроках информатики уже учат, и без таких основ к iptables как-то сыкотно подходить.

zolden ★★★★★
()
Ответ на: комментарий от zolden

:)

Да не админ я по большому счету вовсе, да и школу 11 лет назад как закончил, когда мы не изучали сети вообще. Глобально задача стояла сделать сервер CS:S под Linux, с которой я справился, а вот отражать атаки «кул-хацкеров» оказалось куда как сложнее :)

xiloid
() автор топика
Ответ на: комментарий от post-factum

В этой связи хотел ещё спросить, как скрипты подобные iptables и ipset нагружают систему? Ведь если необходимо сопоставить каждый входящий пакет с таблицей правил, на это наверное уходит довольно много процессорного времени, так?

xiloid
() автор топика
Ответ на: комментарий от xiloid

Значительную нагрузку на проц я видел только однажды — когда использовал ооочень старый тазик для раздачи инета.

Думаю, на современном железе хотя бы и домашнего уровня проблем не будет, если это не highload.

К тому же, в netfilter'е правила компилятся jit'ом прямо в машинные инструкции (это если я правильно понял выписку из changelog'а ядра несколько релизов назад).

post-factum ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin