Forum Debian Users Gang

szewczyk · 2012-10-19 15:32:41

hej pobieram dane z Mysql w C i chce je dodać do reguł jakie tworze dla firewall'a

Kod:

       
                char command[200] ;         
                // badhosts
                if (mysql_query(conn, "SELECT badhost_ip FROM badhosts"))
                {
                    fprintf(stderr, "%s\n", mysql_error(conn));
                    exit(-1);
                }

                //
                res = mysql_use_result(conn);
                // output fields 1 and 2 of each row
                while ((row = mysql_fetch_row(res)) != NULL)
                {
                    sprintf(command,"iptables - A INPUT -s %s  -j DROP",row[0]);
                    system(command);
                }

ale iptables wywala błąd ,po mimo prawidłoego adresu IP w bazie (10.10.10.10)
:/

Ostatnio edytowany przez szewczyk (2012-10-19 15:33:37)

Lorenzo · 2012-10-19 15:53:02

iptables - A INPUT

Może to wina spacji przed A?

szewczyk · 2012-10-20 06:01:46

sorry ,zmęczenie materiału :)
Ps. a czy to dobre rozwiązanie ,tworzyć firewall z wykorzystaniem iptables ,pobierając dane z SQL ?

Jacekalex · 2012-10-20 08:11:50

[OT]
W jakim celu chcesz pakować dane do SQLa?
Iptables sam zapisuje do pliku, może też zapisać do xmla (nie wyczaiłem, jak nazad, nie było mi to do niczego potrzebne ;) ), natomiast listy IP lub IP/MAC lepiej pakować do ipseta.
Z ipseta też można zrzucić tablicę do konfigu - i wczytać ją z powrotem, choć jest trochę zabawy z grepem lub regexem.

Reasumując, wszystko ląduje w plikach tekstowych, co jest niezłym rozwiązaniem, bardziej odpornym na awarię takiego czy innego demona sieciowego, jak Mysql.

Jeśli natomiast koniecznie SQL, to są ciekawe moduły perla do iptables, też będzie trochę łatwiej, niż rzeźbić w C.
W dodatku jajo nie połknie więcej, niż maks 500 reguł w łańcuchu, żeby nie odbiło się to na szybkości sieci.
[/OT]

Ostatnio edytowany przez Jacekalex (2012-10-20 08:15:09)

Piotr3ks · 2012-10-20 09:48:16

szewczyk napisał(-a):
Ps. a czy to dobre rozwiązanie ,tworzyć firewall z wykorzystaniem iptables ,pobierając dane z SQL ?

No jakbyś chciał sobie jeszcze jakiś webpanel dorobić to masz łatwy dostęp do danych.

szewczyk · 2012-10-23 08:36:30

Piotr3ks napisał(-a):
szewczyk napisał(-a):
Ps. a czy to dobre rozwiązanie ,tworzyć firewall z wykorzystaniem iptables ,pobierając dane z SQL ?
No jakbyś chciał sobie jeszcze jakiś webpanel dorobić to masz łatwy dostęp do danych.

dokładnie o to mi chodzi :)

szewczyk · 2012-10-25 11:42:03

Jacekalex napisał(-a):
[OT]
W dodatku jajo nie połknie więcej, niż maks 500 reguł w łańcuchu, żeby nie odbiło się to na szybkości sieci.
[/OT]

mi iptables przyjeło ok 8000 reguł na 32bit z procem 3.4ghz maszynie ? skąd ograniczenie 500 ?

Jacekalex · 2012-10-25 11:54:52

Przyjąć, przyjmie, ale każde 100 reguł wydłuża czas analizowania pakietu przez FW.
W ten sposób po prostu obniżasz wydajność sieci.

Mnie się udało wrzucić do FW całą listę sblamu (wtedy ~18000 adresów) w osobnych regułach, i czas transportu pakietu TCP z dowolnego serwera wydłużył się o prawie 10 sekund.

Dobry firewall ma chronić sieć, ale nie zamulać tej sieci.
Dlatego duże zestawy reguł dotyczących adresów IP należy ładować do tablic IPseta, a w FW będzie każdą tablicę reprezentowała 1 reguła.
Jeśli natomiast masz większą liczbę reguł, to lepiej porobić osobne łańcuchy dla rożnych usług.
Jeśli natomiast pojedynczy pakiet przelatuje w firewallu przez więcej, niż 10 - 20 reguł, to administratorowi serwera potrzebny jest psychiatra. ;)

To by było na tyle
;-)

Piotr3ks · 2012-10-25 15:24:05

szewczyk napisał(-a):
Piotr3ks napisał(-a):
szewczyk napisał(-a):
Ps. a czy to dobre rozwiązanie ,tworzyć firewall z wykorzystaniem iptables ,pobierając dane z SQL ?
No jakbyś chciał sobie jeszcze jakiś webpanel dorobić to masz łatwy dostęp do danych.
dokładnie o to mi chodzi :)

No to jedziesz z danymi w SQL. Dodatkowo na podstawie danych SQL możesz wygenerować sobie plik tekstowy z regułkami ( a tak na wszelki wypadek w razie awarii bazy ) :-)

Ostatnio edytowany przez Piotr3ks (2012-10-25 15:25:15)

Forum Debian Users Gang

Ogłoszenie

#1 2012-10-19 15:32:41

szewczyk - Stary wyjadacz :P

łączenie char w C

Kod:

#2 2012-10-19 15:53:02

Lorenzo - Moderator

Re: łączenie char w C

#3 2012-10-20 06:01:46

szewczyk - Stary wyjadacz :P

Re: łączenie char w C

#4 2012-10-20 08:11:50

Jacekalex - Podobno człowiek...;)

Re: łączenie char w C

#5 2012-10-20 09:48:16

Piotr3ks - Też człowiek :-)

Re: łączenie char w C

szewczyk napisał(-a):

#6 2012-10-23 08:36:30

szewczyk - Stary wyjadacz :P

Re: łączenie char w C

Piotr3ks napisał(-a):

szewczyk napisał(-a):

#7 2012-10-25 11:42:03

szewczyk - Stary wyjadacz :P

Re: łączenie char w C

Jacekalex napisał(-a):

#8 2012-10-25 11:54:52

Jacekalex - Podobno człowiek...;)

Re: łączenie char w C

#9 2012-10-25 15:24:05

Piotr3ks - Też człowiek :-)

Re: łączenie char w C

szewczyk napisał(-a):

Piotr3ks napisał(-a):

szewczyk napisał(-a):

Stopka forum