Forum Debian Users Gang

Jeśli iptables ma banować coś, co zalogował sam iptables, to w ogóle nie potrzebujesz sysloga do tego interesu.
Tworzysz tablicę Ipseta, a potem:

iptables  -I {tablica} {dopasowanie} -j SET {opcje_ipseta}

Sockety, Syslogi, i podobne ustrojstwa są dla usług demonów sieciowych (np Proftpd, Dovecot, Apache) i systemów IPS, jak Snort.

Ostatnio edytowany przez Jacekalex (2014-06-06 08:57:46)

Jest opcja zrzucania listy Ipseta do pliku, poszukaj w manie, chociaż moim zdaniem nie ma to większego sensu, poza robieniem gigantycznej listy, która zawsze trochę przymuli.

Lepiej pakować do Ipseta pacjentów z opcją timeout np 3600, wtedy wszelkie próby skanowania dostaną bana na godzinę,
a tablica Ipseta będzie miała zawsze w miarę rozsądną wielkość.
Potem jeszcze regułka odnawiająca bana w typie

iptables -t raw -I INPUT -m set --set --match-set dupa src  -j SET --add-set dupa src --timeout 3600

Działa to wtedy podobnie do hashlimita, ale jest dużo elastyczniejsze w zastosowaniu, można np wywołaniem na port 22,23,113,445,1443 zaopatrzyć pacjenta w bana na cały albo dużo większy zakres portów. :D

W ten sposób klasycznych bootów nie zobaczysz nawet przez 200 lat. :D

EDIT:

ipset --help napisał(-a):

....
save [SETNAME]
        Save the named set or all sets to stdout
restore
        Restore a saved state
....

Praktycznie tak samo, jak w iptables. ;)

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-06-06 10:21:19)

Jeśli się to faktycznie będzie dość poważnie rozrastać to popatrzę na ten  --timeout . Póki co, wszystko co zostanie złapane w przeciągu paru następnych dni dostanie dożywotniego bana. xD

Troszkę infantylne  spojrzenie na rzeczywistość widzę w tym cytacie.

Np:

add autoban 116.10.191.223
add autoban 116.10.191.186

Dwa sąsiednie kompy z jednej sieci.

Pewnie jeden dostał trojana z jakiejś sieci bootnetów, po czym zaraził drugiego, albo na obu ktoś instalował jakiś program z takiej samej instalki z trojanem.
Za kilka tygodni pewnie będzie albo aktualizacja antywira, albo  reinstalacja, czy najszybsza naprawa Windy w warunkach domowych  (przy pomocy format_C), i te adresy się zdezaktualizują.
W dodatku 95% użytkowników internetu w tym kraju ma adresy publiczne przyznawane dynamicznie na czas sesji, a te mogą się zmieniać nawet co godzinę.
Dlatego listę ipseta warto tworzyć, jeśli masz np tablicę

bitmap:ip,mac

w której pisze, kogo wpuszczać.
Ale zapisywanie banowanych adresów IP do pliku  ma znacznie mniej sensu, niż się pozornie wydaje.
Sens takiego zapisywania pojawi się prawdopodobnie dopiero przy IPv6, ale wtedy do takiej listy będziesz chyba potrzebował osobny dysk. xD

O wiele skuteczniej blokować NEW i INVALID, wpuszczać REALTED i ESTABHISHED, a jak coś wystawiasz na otwartym porcie, to tam hashlimit i ipset.

Ostatnio edytowany przez Jacekalex (2014-06-06 11:07:13)

bitmap:ip,mac Ci się raczej nie przyda, to się stosuje w sieciach LAN, do prostego i szybkiego filtrowania IP/MAC na routerze,
bez zabawy w PPPOE czy inną autoryzację.

W dodatku te adresy, to nie jest koniecznie XP, jak myślisz,
że Seven nie łapie syfu, to możesz sobie myśleć dalej. xD

Ostatnio edytowany przez Jacekalex (2014-06-06 11:38:16)

iptables -t raw -I PREROUTING -p tcp --dport 22 -j SET --add-set dupa src --timeout 86400

i nie ma co kombinować więcej.
Masz pojęcie, ile klas adresowych ma np Neozdrada, albo jakiś inny duży operator?
Będziesz te wszystkie sieci operatorskie rożnych ISP z całego świata dodawał do konfiga?
Bo mam 99,9% pewności, że po dłuższym czasie w takim konfigu będziesz miał zaledwie 7 całych kontynentów. xD

Względnie możesz się pobawić Denyhostem, jak pojęcia "polityka domyślna firewalla" nie ogarniasz. xD

PS:
Kilka minut działania seta z regułką powyżej:

89.46.101.137 timeout 86333
116.10.191.168 timeout 86145

Ta sieć 116.10.191.0/24 jest dosyć pracowita...
xD

Ostatnio edytowany przez Jacekalex (2014-06-08 15:28:08)

Spróbowałem sobie zrobić taki testowy autoban w oparciu o ten timeout ale coś mi nie odświeża czasów w secie.

Przykładowo, chciałbym aby wszystko co mi pingnie maszynę (pingi ze stanem NEW) dostało bana na godzinę i nie tylko na pingi ale na jakąkolwiek komunikację z moim pc. Zrobiłem mniej więcej coś takiego:

iptables -t filter -A INPUT -p icmp -j icmp_in
iptables -t filter -A icmp_in -p icmp -m conntrack --ctstate NEW -j LOG --log-prefix "* IPTABLES: ICMP_NEW * "
iptables -t filter -A icmp_in -p icmp -m conntrack --ctstate NEW -j SET --add-set autoban src --timeout 3600
iptables -t filter -A icmp_in -p icmp -m icmp --icmp-type echo-request -m conntrack --ctstate NEW -j DROP -m comment --comment "echo-request"

iptables -t raw -A PREROUTING -m set --match-set autoban src -j DROP

I to generalnie robi co trzeba ale nie mogłem w żaden sposób odnowić czasu bana. Nawet jak spróbowałem dodać przed tą ostatnią regułą czegoś  na wzór:

iptables -t raw -A  PREROUTING -m set --match-set autoban src  -j SET --add-set autoban src --timeout 3600

Pakiet przechodzi przez nią ale nie odświeża licznika. Coś tu trzeba dodatkowego jeszcze zrobić?

No teraz działa, brakowało tego --exist .