Форум русскоязычного сообщества Ubuntu


Автор Тема: UFW приоритет правил?  (Прочитано 2389 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн mih3y

  • Автор темы
  • Новичок
  • *
  • Сообщений: 33
    • Просмотр профиля
UFW приоритет правил?
« : 29 Января 2014, 21:58:14 »
Всем привет.

В каком порядке UFW правила прочитывает? проблема в том что у меня есть два правила.
Первое блочит ип 55.55.55.55
Второе разрешает подключение откуда угодно к порту 9999.

И в итоге поулчается что ип 55.55.55.55 тоже может использовать порт 9999. А это не нужно!
Как указать важность правил? или я что то не так делаю?

И второй вопрос по UFW - есть хороший способ все ип из одной страны забанитЬ?

Спасибо

Оффлайн golota

  • Участник
  • *
  • Сообщений: 132
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #1 : 30 Января 2014, 00:00:03 »
В каком порядке UFW правила прочитывает? проблема в том что у меня есть два правила.
Порядок такой - mangle nat filter
Выполнся первое правило удовлетворяющее критерии
И второй вопрос по UFW - есть хороший способ все ип из одной страны забанитЬ?
Я не знаю, какая у вас Ubuntu  :)
Можно попробовать -
sudo apt-get install xtables-addons-dkms
если всё пройдёт без ошибок

то например - sudo iptables -I INPUT -m geoip --src-cc US -j DROP
и прощай доступ на ваш сервер США  :2funny:
« Последнее редактирование: 30 Января 2014, 00:18:54 от golota »
Я знаю то, что ничего не знаю, но некоторые не знают и этого. Сократ

Оффлайн mih3y

  • Автор темы
  • Новичок
  • *
  • Сообщений: 33
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #2 : 30 Января 2014, 00:29:31 »
В каком порядке UFW правила прочитывает? проблема в том что у меня есть два правила.
Порядок такой - mangle nat filter
Выполнся первое правило удовлетворяющее критерии
И второй вопрос по UFW - есть хороший способ все ип из одной страны забанитЬ?
Я не знаю, какая у вас Ubuntu  :)
Можно попробовать -
sudo apt-get install xtables-addons-dkms
если всё пройдёт без ошибок

то например - sudo iptables -I INPUT -m geoip --src-cc US -j DROP
и прощай доступ на ваш сервер США  :2funny:

Спасибо! у меня 12.04 lts.

поставилось без ошибок. но

sudo iptables -I INPUT -m geoip --src-cc US -j DROP
iptables: Memory allocation problem.

Буду благодарен за помощь!

Оффлайн golota

  • Участник
  • *
  • Сообщений: 132
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #3 : 30 Января 2014, 00:47:36 »
В этом случае, я бессилен  :-[
Судя по всему, ето ограничения ядра.
У вас 32 или 64 бита система ?
 
Попробуйте блокировать страну поменьше
для US, это больше 8000 правил iptables !
Например EE - 229 правил,
sudo iptables -I INPUT -m geoip --src-cc EE -j DROP
Интересно, что будет ...
Количество правил для стран -
(Нажмите, чтобы показать/скрыть)
« Последнее редактирование: 30 Января 2014, 02:19:49 от golota »
Я знаю то, что ничего не знаю, но некоторые не знают и этого. Сократ

Оффлайн mih3y

  • Автор темы
  • Новичок
  • *
  • Сообщений: 33
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #4 : 30 Января 2014, 02:16:32 »
В этом случае, я бессилен  :-[
Судя по всему, ето ограничения ядра.
У вас 32 или 64 бита система ?
 
Попробуйте блокировать страну поменьше
для US, это больше 8000 правил iptables !
LV - 314
LT - 234
EE - 229 правил, начнём с меньшего
sudo iptables -I INPUT -m geoip --src-cc EE -j DROP
Интересно, что будет ...

64 БИТ.

тоже самое с ЕЕ.

нашел вот такое в гугле http://forum.parallels.com/showthread.php?54536-iptables-Memory-allocation-problem

Но никак не могу понять где это в убунте найти?

Оффлайн golota

  • Участник
  • *
  • Сообщений: 132
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #5 : 30 Января 2014, 02:22:24 »
Судя по /proc/user_beancounters
Это неизвестная мне система с неизвестным ядром.

Нам явно не подходит  :'(
Я знаю то, что ничего не знаю, но некоторые не знают и этого. Сократ

Оффлайн mih3y

  • Автор темы
  • Новичок
  • *
  • Сообщений: 33
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #6 : 30 Января 2014, 02:23:56 »
Судя по /proc/user_beancounters
Это неизвестная мне система с неизвестным ядром.

Нам явно не подходит  :'(

эхх чертовщина.не вручную же в iptables всё вписывать )

Оффлайн golota

  • Участник
  • *
  • Сообщений: 132
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #7 : 30 Января 2014, 13:55:06 »
Зачем вручную, можно скриптики написать.
Данные доступны и и обновляются -
В формате CVS
В формате SQL
Я знаю то, что ничего не знаю, но некоторые не знают и этого. Сократ

Оффлайн mih3y

  • Автор темы
  • Новичок
  • *
  • Сообщений: 33
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #8 : 30 Января 2014, 15:30:51 »
Зачем вручную, можно скриптики написать.
Данные доступны и и обновляются -
В формате CVS
В формате SQL

Боюсь, для скриптиков моего ума не хватит. можно где пример глянуть?

и от такого количества данных Iptables не повесится? CN+USA например?
« Последнее редактирование: 30 Января 2014, 15:33:05 от mih3y »

Оффлайн golota

  • Участник
  • *
  • Сообщений: 132
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #9 : 30 Января 2014, 15:37:47 »
Например,

Качаем Geo IP Country в формате CSV
unzip GeoIPCountryCSV.zip

а потом - awk -F\" '/"EE"/ {print "--src-range "$2 "-" $4 " -j DROP"}' GeoIPCountryWhois.csv

EE заменяем на нужный country code, а перед --src-range ставим нужное заклинание iptables
-j DROP, тоже меняем по вкусу.

На счёт, повесится-ли от CN+USA - это вы экспериментально установите  :coolsmiley:
« Последнее редактирование: 30 Января 2014, 15:44:44 от golota »
Я знаю то, что ничего не знаю, но некоторые не знают и этого. Сократ

Оффлайн mih3y

  • Автор темы
  • Новичок
  • *
  • Сообщений: 33
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #10 : 30 Января 2014, 15:56:09 »
Например,

Качаем Geo IP Country в формате CSV
unzip GeoIPCountryCSV.zip

а потом - awk -F\" '/"EE"/ {print "--src-range "$2 "-" $4 " -j DROP"}' GeoIPCountryWhois.csv

EE заменяем на нужный country code, а перед --src-range ставим нужное заклинание iptables
-j DROP, тоже меняем по вкусу.

На счёт, повесится-ли от CN+USA - это вы экспериментально установите  :coolsmiley:

Если я сильно туплю прошу простить!
попробовал так чтоб увидеть выведет ли список нужных мне ИП
awk -F\" '/"EE"/ {print "--src-range "$2 "-" $4 " -j DROP"}' GeoIPCountryWhois.csvВсе вывелось

теперь попробовал так
awk -F\" '/"EE"/ {print "iptables - I INPUT --src-range "$2 "-" $4 " -j DROP"}'
GeoIPCountryWhois.csv
awk -F\" '/"EE"/ {iptables - I INPUT --src-range "$2 "-" $4 " -j DROP}' GeoIPCountryWhois.csv
Никакой ощибки не вывело, но доступ с Эстонии все равно есть? iptables не изменился, Что я делаю не так?
 



« Последнее редактирование: 30 Января 2014, 16:04:06 от mih3y »

Оффлайн golota

  • Участник
  • *
  • Сообщений: 132
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #11 : 30 Января 2014, 16:08:58 »
Так ничего и не должно было произойти ...
Вы просто сгенерировали скрипт iptables, который теперь надо выполнить...
Сделайте -
awk -F\" '/"EE"/ {print "iptables -I INPUT --src-range "$2 "-" $4 " -j DROP"}' GeoIPCountryWhois.csv > EE.drop
chmod 755 EE.drop
sudo ./EE.drop

Опять-же поправьте "- I INPUT" на "-I INPUT" (между - и I уберите пробел)
« Последнее редактирование: 30 Января 2014, 16:15:16 от golota »
Я знаю то, что ничего не знаю, но некоторые не знают и этого. Сократ

Оффлайн mih3y

  • Автор темы
  • Новичок
  • *
  • Сообщений: 33
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #12 : 30 Января 2014, 16:35:19 »
Так ничего и не должно было произойти ...
Вы просто сгенерировали скрипт iptables, который теперь надо выполнить...
Сделайте -
awk -F\" '/"EE"/ {print "iptables -I INPUT --src-range "$2 "-" $4 " -j DROP"}' GeoIPCountryWhois.csv > EE.drop
chmod 755 EE.drop
sudo ./EE.drop

Опять-же поправьте "- I INPUT" на "-I INPUT" (между - и I уберите пробел)


Спасибо! Пришлось добавить -m iprange перед --src-range и заработало.


Китай забанить удалось. а вот с HK(Хонг Конг) проблемы. все равно получают от туда доступ на сервер.

Еще раз спасибо огромное!

Оффлайн golota

  • Участник
  • *
  • Сообщений: 132
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #13 : 30 Января 2014, 16:42:01 »
Китай забанить удалось. а вот с HK(Хонг Конг) проблемы. все равно получают от туда доступ на сервер.
Уже обзавидовался   :D Что-ж за сервер такой, что на него все кидаются как бешенные.

И не понял причину проблем с HK
Я знаю то, что ничего не знаю, но некоторые не знают и этого. Сократ

Оффлайн mih3y

  • Автор темы
  • Новичок
  • *
  • Сообщений: 33
    • Просмотр профиля
Re: UFW приоритет правил?
« Ответ #14 : 30 Января 2014, 16:47:21 »
Китай забанить удалось. а вот с HK(Хонг Конг) проблемы. все равно получают от туда доступ на сервер.
Уже обзавидовался   :D Что-ж за сервер такой, что на него все кидаются как бешенные.

И не понял причину проблем с HK

Игровой сервер. Порты всем известны, ломятся вечно из китая. Fail2ban их банит. но я вообще не хочу чтоб у них был доступ. ресурс строго русскоязычный.

Проблеа вот такая. доступ к серверу до и после проверял вот тут http://www.websitepulse.com/help/testtools.china-test.html

после добавления зон CN Доступ из
Shanghai, China
Beijing , China
Guangzhou, China

был заблокирован.

Но остался доступ из Hong Kong, China. и после добавления зоны HK Ниче не поменялось, доступ все еще открыт.

 

Страница сгенерирована за 0.038 секунд. Запросов: 25.