Bekijk Volledige Versie : IPtable range block
hi,
Ik overweeg serieus diverse landen volledig te weren dmv. IPtable ranges.
Een lijst met IP/+subnets heb ik voorhanden en a.d.h.v.
> -A INPUT -s 14.1.96.0/19 -j DROP
block ik diverse ranges
Een nadeel(tje) is dat als ik alle (risico) landen zou willen weren van mijn server
kom ik op zo'n 55000 regels :-D
Als ik het anders om zou doen, namelijk alleen de IP invoeren die worden toegelaten
kan het met veel minder regels af...
Maar dan loop ik het gevaar uit tesluiten die wel er mogen.
De rede is financieel vs. spam & hacking, hetgeen jullie niet onbekend is, mag ik aannemen ;)
Wat is jullie devies?
Ik zou het met een GeoIP database regelen, zie deze post:
http://www.linksysinfo.org/index.php?threads/country-block-allow-with-iptables.35548/
GeoIP is inderdaad het antwoord. Ik gebruik het zelf ook via een eigen wrapper om FTP. Enkel .NL wordt daar toegelaten en kan per user een uitzondering maken. Paar regeltjes Perl...
systemdeveloper
11/12/12, 11:32
In csf kun je ook complete landen blokken. Lijkt me wel niet bevorderlijk voor de performance, maar is wel makkelijk
Ik zou het met een GeoIP database regelen, zie deze post:
http://www.linksysinfo.org/index.php?threads/country-block-allow-with-iptables.35548/
wat betreft GEO-ip daarover staat dat je het moet weg schrijven op een usb stick van de router.... hmmm
Bij mij gaat het om een dedicated server en de router is van de provider. Dus daar kan ik niets mee.
wellicht de "Quick and dirty country block list" maar dat komt in feite op het zelfde neer...?
Je kan het nog wat inkorten door bvb volledige netblocks te blokken van RIR/LIR ipv per toegekende netblock per user.
Bijvoorbeeld:
1.0.0.0/8 APNIC
14.0.0.0/8 APNIC
27.0.0.0/8 APNIC
36.0.0.0/8 APNIC
39.0.0.0/8 APNIC
43.0.0.0/7 APNIC
49.0.0.0/8 APNIC
59.0.0.0/8 APNIC
61.0.0.0/7 APNIC
101.0.0.0/8 APNIC
103.0.0.0/8 APNIC
106.0.0.0/8 APNIC
111.0.0.0/7 APNIC
126.0.0.0/4 APNIC
133.0.0.0/8 APNIC
153.0.0.0/8 APNIC
163.0.0.0/8 APNIC
171.0.0.0/8 APNIC
175.0.0.0/8 APNIC
177.0.0.0/8 LACNIC
179.0.0.0/8 LACNIC
183.0.0.0/6 LACNIC + APNIC
187.0.0.0/7 LACNIC
191.0.0.0/8 LACNIC
200.0.0.0/6 LACNIC + APNIC
211.0.0.0/7 APNIC
219.0.0.0/7 LACNIC
223.0.0.0/6 LACNIC
Volledige lijst is terug te vinden op http://www.iana.org/numbers & http://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.xml
Yourwebhoster
11/12/12, 17:22
Je kan het nog wat inkorten door bvb volledige netblocks te blokken van RIR/LIR ipv per toegekende netblock per user.
Bijvoorbeeld:
1.0.0.0/8 APNIC
14.0.0.0/8 APNIC
27.0.0.0/8 APNIC
36.0.0.0/8 APNIC
39.0.0.0/8 APNIC
43.0.0.0/7 APNIC
49.0.0.0/8 APNIC
59.0.0.0/8 APNIC
61.0.0.0/7 APNIC
101.0.0.0/8 APNIC
103.0.0.0/8 APNIC
106.0.0.0/8 APNIC
111.0.0.0/7 APNIC
126.0.0.0/4 APNIC
133.0.0.0/8 APNIC
153.0.0.0/8 APNIC
163.0.0.0/8 APNIC
171.0.0.0/8 APNIC
175.0.0.0/8 APNIC
177.0.0.0/8 LACNIC
179.0.0.0/8 LACNIC
183.0.0.0/6 LACNIC + APNIC
187.0.0.0/7 LACNIC
191.0.0.0/8 LACNIC
200.0.0.0/6 LACNIC + APNIC
211.0.0.0/7 APNIC
219.0.0.0/7 LACNIC
223.0.0.0/6 LACNIC
Volledige lijst is terug te vinden op http://www.iana.org/numbers & http://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.xml
Let op dat je hier complete continenten mee gaat weren en niet landen.
Let op dat je hier complete continenten mee gaat weren en niet landen.
Uiteraard, maar als je alle zuid-amerikaanse landen of alle afrikaanse landen of ... wil blokken is dit interessanter voor je firewall rules.
Blokkeren op basis van RIR is geen goed idee, zie http://www.ripe.net/ripe/policies/proposals/2012-02
wat betreft GEO-ip daarover staat dat je het moet weg schrijven op een usb stick van de router.... hmmm
Bij mij gaat het om een dedicated server en de router is van de provider. Dus daar kan ik niets mee.
wellicht de "Quick and dirty country block list" maar dat komt in feite op het zelfde neer...?
Het verhaal geld inderdaad voor een router. En op die router draait gewoon linux met iptables.
Zelfde trucje kan je dus ook gewoon op een server doen, maar als je niet weet hoe je ipv op een usb-stick ergens anders moet wegschrijven (hdd?).....dan moet je inderdaad hier niet aan beginnen lijkt me.