Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.

iptables -m limit, ali zasebno po dinamičkim ip adresama?

[es] :: Linux/UNIX serveri i servisi :: iptables -m limit, ali zasebno po dinamičkim ip adresama?

[ Pregleda: 1859 | Odgovora: 7 ] > FB > Twit

Postavi temu Odgovori

Autor

Pretraga teme: Traži
Markiranje Štampanje RSS

pisac

Član broj: 13046
Poruke: 4495



+3120 Profil

icon iptables -m limit, ali zasebno po dinamičkim ip adresama?22.12.2010. u 03:14 - pre 110 meseci
Za ograničavanje broja pogađanja lozinke na SIP serverima koristim


iptables -A INPUT -i $EXT -p udp --dport 5060 -m limit --limit 8/second --limit-burst 20 -j ACCEPT
iptables -A INPUT -i $EXT -p udp --dport 5060 -j DROP


Uz restriktivan fail2ban to sve lepo radi, i saseče svakog wannabe hakera u korenu

Međutim, ovo rešenje (nisam testirao ali verujem da je tako) ne pravi razliku između različitih IP adresa sa kojih stižu zahtevi, tako da će neki wannabe haker sa svojih 200 pokušaja u sekundi da mi u potpunosti spreči i rad legalnih klijenata tokom napada. Doduše, napad neće trajati više od nekoliko sekundi jer će ga fail2ban ubrzo saseći i staviti na ignore listu, ali ipak bih želeo da nađem rešenje koje neće DROPovati legalne klijente koji nisu prekoračili --limit sa njihove IP adrese.

Kako (ako ikako) gornju komandu prilagoditi tako da broji limit odvojeno za svaku zasebnu IP adresu koja pristupa u nekom trenutku?
 
Odgovor na temu

Tyler Durden
Tyler Durden
Beograd

Član broj: 4312
Poruke: 3379
*.verat.net.



+1365 Profil

icon Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?22.12.2010. u 08:04 - pre 110 meseci
Ovo već pravi razliku između različitih adresa.
Beneath civilization's fragile crust, cold chaos churns...
 
Odgovor na temu

pisac

Član broj: 13046
Poruke: 4495



+3120 Profil

icon Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?22.12.2010. u 10:42 - pre 110 meseci
Siguran si? Na osnovu čega zaključuješ? Misliš da "-m limit" sam po sebi tako funkcioniše, i da se uvek odnosi samo na jednu određenu IP adresu?

Ja sam mislio da se to nadovezuje na ono ostalo što piše u liniji, a tamo je samo pomenut udp port 5060, tako da u stvari limit limitira ukupan broj konekcija na taj udp port u sekundi nevezano za to sa koje adrese dolaze te konekcije. To bi bilo sasvim logično čitajući komandu.

Ako je tako kao što ti kažeš, onda je to super, ne moram više ništa da smišljam.
 
Odgovor na temu

Tyler Durden
Tyler Durden
Beograd

Član broj: 4312
Poruke: 3379
*.verat.net.



+1365 Profil

icon Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?22.12.2010. u 10:57 - pre 110 meseci
Hm, izgleda da ipak nisam u pravu...
Ako treba po adresama eksplicitno, onda mora i da se taj IP navede. To je malo bezveze.
Ne znam, nigdje ne piše jasno da li se ovi limiti odnose prema pojedinačnom korisniku/IP adresi ili prema čitavom servisu/portu.

I onda to što ti hoćeš ne može ni da se uradi, osim možda kroz neke zapetljane skripte koje bi izvlačile adrese iz iptables logova pa onda to propuštale i štatiznam, al to je veliko petljanje i mislim da ne bi bilo efikasno svejedno.
Beneath civilization's fragile crust, cold chaos churns...
 
Odgovor na temu

pisac

Član broj: 13046
Poruke: 4495



+3120 Profil

icon Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?22.12.2010. u 11:15 - pre 110 meseci
Taman si me potencijalno obradovao ali sad sam se razočarao jer sam izgleda bio u pravu
 
Odgovor na temu

Sleepless_mind
Bojan Vranac
NetLogic D.O.O.
01000010 01000111 0100010

Član broj: 33611
Poruke: 564
*.kbcnet.rs.

Jabber: wizard[at]elitesecurity.org
ICQ: 12413605
Sajt: www.netlogic.rs


+34 Profil

icon Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?22.12.2010. u 14:20 - pre 110 meseci
Mozhda neshto ovako pomogne:


Code:
iptables -I INPUT -p udp --dport 5060 -i $EXT -m state --state NEW -m recent \
--set

iptables -I INPUT -p udp --dport 5060 -i $EXT -m state --state NEW -m recent \
--update --seconds 60 --hitcount 5 -j DROP


fw dopushta 4 pokushaja u minutu, sve ostalo ce biti dropovano.

Trebalo bi prilagoditi --update --seconds i --hitcount da odgovara potrebama.



We are Borg. We shall assimilate you.
RESISTANCE IS FUTILE!

Asus P6T Deluxe V2
Intel Core i7 965 3.2GHz
OCZ 3x2GB DDR3 PC3-12800 Flex EX Low Voltage Triple Channel
2x1000GB Spinpoint F1
ATI Radeon HD5970
Lian Li PC-P80R
Samsung T240

www.me2everyone.com/213043
 
Odgovor na temu

pisac

Član broj: 13046
Poruke: 4495



+3120 Profil

icon Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?23.12.2010. u 14:11 - pre 110 meseci
Znači umesto -m limit, da koristim -m recent...

Jel -m state u stvari prati /proc/net/ip_conntrack listu? I jel -m recent beleži to u neku svoju listu, ili ... U stvari, zna li neko iz prve ruke neki dobar tutorijal za ove detalje o kojima pričamo (limit, recent, state... da ne guglam u prazno ako neko već zna), pa da sažvaćem to sam?
 
Odgovor na temu

igor.vitorac
www.eurodyn.com
Brussels, BE

Član broj: 144858
Poruke: 482
213.246.217.*

Sajt: www.linkedin.com/pub/igor..


+13 Profil

icon Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?08.02.2011. u 09:24 - pre 109 meseci
Slucajno naleteh na Fail2ban:
http://www.fail2ban.org

Mozda moze da ti odraditi posao.

P.S. Ako potrazis na google-u "fail2ban asterisk", videces prvi link:
http://www.voip-info.org/wiki/...8with+iptables%29+And+Asterisk
 
Odgovor na temu

[es] :: Linux/UNIX serveri i servisi :: iptables -m limit, ali zasebno po dinamičkim ip adresama?

[ Pregleda: 1859 | Odgovora: 7 ] > FB > Twit

Postavi temu Odgovori

Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.