[es] - iptables -m limit, ali zasebno po dinamičkim ip adresama?

pisac

Član broj: 13046
Poruke: 4578

+3341 Profil

iptables -m limit, ali zasebno po dinamičkim ip adresama?

^{22.12.2010. u 03:14 - pre 162 meseci}

Za ograničavanje broja pogađanja lozinke na SIP serverima koristim

iptables -A INPUT -i $EXT -p udp --dport 5060 -m limit --limit 8/second --limit-burst 20 -j ACCEPT
iptables -A INPUT -i $EXT -p udp --dport 5060 -j DROP

Uz restriktivan fail2ban to sve lepo radi, i saseče svakog wannabe hakera u korenu

Međutim, ovo rešenje (nisam testirao ali verujem da je tako) ne pravi razliku između različitih IP adresa sa kojih stižu zahtevi, tako da će neki wannabe haker sa svojih 200 pokušaja u sekundi da mi u potpunosti spreči i rad legalnih klijenata tokom napada. Doduše, napad neće trajati više od nekoliko sekundi jer će ga fail2ban ubrzo saseći i staviti na ignore listu, ali ipak bih želeo da nađem rešenje koje neće DROPovati legalne klijente koji nisu prekoračili --limit sa njihove IP adrese.

Kako (ako ikako) gornju komandu prilagoditi tako da broji limit odvojeno za svaku zasebnu IP adresu koja pristupa u nekom trenutku?

Odgovor na temu

Tyler Durden
Tyler Durden
Beograd

Član broj: 4312
Poruke: 3379
*.verat.net.

+1365 Profil

Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?

^{22.12.2010. u 08:04 - pre 162 meseci}

Ovo već pravi razliku između različitih adresa.

Beneath civilization's fragile crust, cold chaos churns...

Odgovor na temu

pisac

Član broj: 13046
Poruke: 4578

+3341 Profil

Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?

^{22.12.2010. u 10:42 - pre 162 meseci}

Siguran si? Na osnovu čega zaključuješ? Misliš da "-m limit" sam po sebi tako funkcioniše, i da se uvek odnosi samo na jednu određenu IP adresu?

Ja sam mislio da se to nadovezuje na ono ostalo što piše u liniji, a tamo je samo pomenut udp port 5060, tako da u stvari limit limitira ukupan broj konekcija na taj udp port u sekundi nevezano za to sa koje adrese dolaze te konekcije. To bi bilo sasvim logično čitajući komandu.

Ako je tako kao što ti kažeš, onda je to super, ne moram više ništa da smišljam.

Odgovor na temu

Tyler Durden
Tyler Durden
Beograd

Član broj: 4312
Poruke: 3379
*.verat.net.

+1365 Profil

Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?

^{22.12.2010. u 10:57 - pre 162 meseci}

Hm, izgleda da ipak nisam u pravu...
Ako treba po adresama eksplicitno, onda mora i da se taj IP navede. To je malo bezveze.
Ne znam, nigdje ne piše jasno da li se ovi limiti odnose prema pojedinačnom korisniku/IP adresi ili prema čitavom servisu/portu.

I onda to što ti hoćeš ne može ni da se uradi, osim možda kroz neke zapetljane skripte koje bi izvlačile adrese iz iptables logova pa onda to propuštale i štatiznam, al to je veliko petljanje i mislim da ne bi bilo efikasno svejedno.

Beneath civilization's fragile crust, cold chaos churns...

Odgovor na temu

pisac

Član broj: 13046
Poruke: 4578

+3341 Profil

Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?

^{22.12.2010. u 11:15 - pre 162 meseci}

Taman si me potencijalno obradovao ali sad sam se razočarao jer sam izgleda bio u pravu

Odgovor na temu

Sleepless_mind
Bojan Vranac
NetLogic D.O.O.
01000010 01000111 0100010

Član broj: 33611
Poruke: 564
*.kbcnet.rs.

Jabber: wizard[at]elitesecurity.org
ICQ: 12413605
Sajt: www.netlogic.rs

+34 Profil

Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?

^{22.12.2010. u 14:20 - pre 162 meseci}

Mozhda neshto ovako pomogne:

Code:
iptables -I INPUT -p udp --dport 5060 -i $EXT -m state --state NEW -m recent \
--set

iptables -I INPUT -p udp --dport 5060 -i $EXT -m state --state NEW -m recent \
--update --seconds 60 --hitcount 5 -j DROP

fw dopushta 4 pokushaja u minutu, sve ostalo ce biti dropovano.

Trebalo bi prilagoditi --update --seconds i --hitcount da odgovara potrebama.

We are Borg. We shall assimilate you.
RESISTANCE IS FUTILE!

Asus P6T Deluxe V2
Intel Core i7 965 3.2GHz
OCZ 3x2GB DDR3 PC3-12800 Flex EX Low Voltage Triple Channel
2x1000GB Spinpoint F1
ATI Radeon HD5970
Lian Li PC-P80R
Samsung T240

www.me2everyone.com/213043

Odgovor na temu

pisac

Član broj: 13046
Poruke: 4578

+3341 Profil

Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?

^{23.12.2010. u 14:11 - pre 162 meseci}

Znači umesto -m limit, da koristim -m recent...

Jel -m state u stvari prati /proc/net/ip_conntrack listu? I jel -m recent beleži to u neku svoju listu, ili ... U stvari, zna li neko iz prve ruke neki dobar tutorijal za ove detalje o kojima pričamo (limit, recent, state... da ne guglam u prazno ako neko već zna), pa da sažvaćem to sam?

Odgovor na temu

igor.vitorac

Član broj: 144858
Poruke: 483

+13 Profil

Re: iptables -m limit, ali zasebno po dinamičkim ip adresama?

^{08.02.2011. u 09:24 - pre 160 meseci}

Slucajno naleteh na Fail2ban:
http://www.fail2ban.org

Mozda moze da ti odraditi posao.

P.S. Ako potrazis na google-u "fail2ban asterisk", videces prvi link:
http://www.voip-info.org/wiki/...8with+iptables%29+And+Asterisk

Odgovor na temu