NAKUP ROUTERJA -Multicast

[Bayern1]

nekaj sem nasel na netu okoli block IP in IP range.....mogoce bi tole celo delovalo? moram testirat....ampak tukaj bom moral nekoga dobit da mi da IP pa ga trenutno blokiram....drugace ne bom vedel pri cem sem.....

Koda: Izberi vse

iptables -i eth0 -A INPUT -s 31.223.208.0/20 -j DROP

[dcavni]

Lahko ti jaz preverim, ali pa blokiraj range svojega mobilnega operaterja pa se poskusi povezati. Ali pa Wlan-Slovenija točka (če imaš kakšen router viška), ki jo postaviš v svoje omrežje pa na njej dobiš čisto drugi zunanji IP in se potem preko nje poskusiš povezati nazaj v svoje omrežje ☺

[Bayern1]

sem potipal soseda pa sem blokiral njegov IP, vendar ni delovalo.....to pravilo sem dodal v obstojeci firewall-start....izgleda pa takole sedaj.....

Koda: Izberi vse

#!/bin/sh

iptables -A INPUT -p tcp --dport 5225 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 5225 -j ACCEPT
iptables -I INPUT -p tcp --dport 5225 -j ACCEPT
iptables -i eth0 -A INPUT -s 185.34.95.0/24 -j DROP

[gr]

Če se sosed poskuša povezati na port 5225 ali iz porta 5225, to ne more delovati. Prepoved z -j DROP mora biti na začetku verige, sicer do nje ne pride.

[Bayern1]

ce te prav razumem da dam to ip tabelo na vrh, oziroma zacetek pravila bi potem tale 185.34.95.0/24 IP range bil blokiran da dostopa do porta 5225?

Koda: Izberi vse

#!/bin/sh

iptables -i eth0 -A INPUT -s 185.34.95.0/24 -j DROP
iptables -A INPUT -p tcp --dport 5225 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 5225 -j ACCEPT
iptables -I INPUT -p tcp --dport 5225 -j ACCEPT

testiral ravno sedaj....tudi tako noce blokirati zeljeni IP range napisan v iptabeli.....nekaj manjka mogoce?

[dcavni]

Poskusi še z eth1

[gr]

Malo na pamet, ker iptables pravil že dolgo nisem pisal, ampak -A (add) doda na konec, -I (insert) pa vrine na začetek. Z zadnjim pravilom si mu tako spet dovolil dostop do porta 5225. Poskusi s temi:

Koda: Izberi vse

#!/bin/sh
#temu območju ne dovolimo nič
iptables -A INPUT -s 185.34.95.0/24 -j DROP
#ves ostali promet na port 5225 spustimo skozi
iptables -A INPUT -p tcp --dport 5225 -j ACCEPT
#če je OUTPUT privzeto dovoljen, pravila ne rabiš
#iptables -A OUTPUT -p tcp --sport 5225 -j ACCEPT

[Bayern1]

Poskusi še z eth1

eth1 naj bi bil wi-fi...

Koda: Izberi vse

eth0 is WAN
eth1 is wifi 2.4 G
eth2 is Wifi 5 G
br0 is LAN

[Bayern1]

Malo na pamet, ker iptables pravil že dolgo nisem pisal, ampak -A (add) doda na konec, -I (insert) pa vrine na začetek. Z zadnjim pravilom si mu tako spet dovolil dostop do porta 5225. Poskusi s temi:

Koda: Izberi vse

#!/bin/sh
#temu območju ne dovolimo nič
iptables -A INPUT -s 185.34.95.0/24 -j DROP
#ves ostali promet na port 5225 spustimo skozi
iptables -A INPUT -p tcp --dport 5225 -j ACCEPT
#če je OUTPUT privzeto dovoljen, pravila ne rabiš
#iptables -A OUTPUT -p tcp --sport 5225 -j ACCEPT

nisem uspel tudi s to tabelo....

[dcavni]

Ok, nisem vedel, kako ima dotični router poimenovane vmesnike.

Poskusi blokirati njegov IP direktno in ne celega območja, da vidiš ali sploh dela.

[Bayern1]

nikakor nisem uspel....mora biti nekako drugace tole.....sem testiral tudi direkt z posamicnim IP.....

[Bayern1]

joj, zivcen zlom bom dobil okoli teh pravil....rad bi da bi blokiral nek IP range na portu 5225, ostali IP pa lahko dostopajo da toga porta?ima kdo kaksno idejo kako to spraviti v red da bi delovalo? deluje mi samo ce vpisem posamicen IP....izgleda takole:

Koda: Izberi vse

#!/bin/sh

iptables -I FORWARD -s 188.198.68.231 -p tcp --dport 5225 -j DROP
iptables -I INPUT -s 188.198.68.231 -p tcp --dport 5225 -j DROP
iptables -A INPUT -p tcp --dport 5225 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 5225 -j ACCEPT
iptables -I INPUT -p tcp --dport 5225 -j ACCEPT

ce pa vpisem ta IP range ( 188.198.0.0/16 ), to izgleda takole, pa mi nikakor ne deluje....se vedno lahko dostopa do mojega porta....

Koda: Izberi vse

#!/bin/sh

iptables -I FORWARD -s 188.198.0.0/16 -p tcp --dport 5225 -j DROP
iptables -I INPUT -s 188.198.0.0/16 -p tcp --dport 5225 -j DROP
iptables -A INPUT -p tcp --dport 5225 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 5225 -j ACCEPT
iptables -I INPUT -p tcp --dport 5225 -j ACCEPT

[rossi]

Kaj pa ce bi vse blokiral in sam dolocene spustil notri?

[Bayern1]

tudi ta opcija pride v postev kot si omenil...ampak se vedno bi moral nek ip range enega isp ponudnika vpisati, zaradi dinamicnega IP naslova...kako bi pa izgledalo tako pravilo?

[NoName]

V kateri tabeli bi ga rad blokiral.. FORWARD ali INPUT.. ali oboje... Glede na napisano, bi moral primer delovati b.p.... Seveda ob pogoju, da nimaš nekje na začetku še kakega rula, ki omogoča promet... Predlagam, da prilepiš (lahko ZS) celoten produkcijski firewall (najbolje, kot izpis ukaza iptables-save, oz. iptables -S), verjetno bi bilo pa smotrno spremljati counterje za posamezen rule, predvsem tega, s katerim želiš onemogočiti promet (iptables -Lvn)