• Zarejestrowany: 2012-11-16
  • Posty: 400

Temat: Blokada połączeń przychodzących

Hej,

chciałbym zablokować możliwość połączenie się do mnie spoza wan dla adresów z dwóch sieci:

45.227.254.xxx
194.165.16.xxx


dodałem takie komendy dla poszczególnych adresów:

iptables -A INPUT -s 45.227.254.8 -j DROP

co widać tu:

root@Gargoyle-Luizjana:~# iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
bw_ingress all -- anywhere anywhere
ACCEPT all -- anywhere anywhere /* !fw3 */
input_rule all -- anywhere anywhere /* !fw3: Custom input rule chain */
ACCEPT all -- anywhere anywhere ctstate RELATED,ESTABLISHED /* !fw3 */
syn_flood tcp -- anywhere anywhere tcp flags:FIN,SYN,RST,ACK/SYN /* !fw3 */
zone_lan_input all -- anywhere anywhere /* !fw3 */
zone_wan_input all -- anywhere anywhere /* !fw3 */
zone_wan_input all -- anywhere anywhere /* !fw3 */
zone_vpn_input all -- anywhere anywhere /* !fw3 */
DROP all -- 45.227.254.54 anywhere
DROP all -- 45.227.254.8 anywhere
DROP all -- visit.keznews.com anywhere
DROP all -- visit.keznews.com anywhere
DROP all -- visit.keznews.com anywhere
DROP all -- 45.227.254.54 anywhere
DROP all -- 45.227.254.48 anywhere
DROP all -- 45.227.254.8 anywhere
DROP all -- visit.keznews.com anywhere
DROP all -- visit.keznews.com anywhere
DROP all -- visit.keznews.com anywhere


ale to nie działa hmm

co robić, jak żyć?

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

iptables -I INPUT -s 45.227.254.8 -j DROP

Reguła ma lecieć na początek kolejki albo do łańcucha zone_wan_input. Ty dodałeś przez -A na końcu łańcucha i wcześniej inne łapią ten pakiet.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

ok  ma to sens.

A czy taki wpis

iptables -I INPUT -s 45.227.254.0/24 -j DROP

zablokuje wszystkie hosty  w sieci ?

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

Wszystkie nie, dostęp z klasy adresowej 45.227.254.0/24

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

kurcze  coś jednak nie działa sad
robię 

iptables -I INPUT -s 45.227.254.0/24 -j DROP

a i tak połaczenie przychodzi

6 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

Może jest już nawiązane? Albo sprawdzasz z lanu a nie innej sieci zza wanem.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

7 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

testowo  sprawdzam  połączenie  z codespace na github

root@Gargoyle-Luizjana:~# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
DROP       all  --  51.124.243.139       anywhere
DROP       all  --  51.124.243.0/24      anywhere
bw_ingress  all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere             /* !fw3 */
input_rule  all  --  anywhere             anywhere             /* !fw3: Custom input rule chain */
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED /* !fw3 */
syn_flood  tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN /* !fw3 */
zone_lan_input  all  --  anywhere             anywhere             /* !fw3 */
zone_wan_input  all  --  anywhere             anywhere             /* !fw3 */
zone_wan_input  all  --  anywhere             anywhere             /* !fw3 */
zone_vpn_input  all  --  anywhere             anywhere             /* !fw3 */

Chain FORWARD (policy DROP)
target     prot opt source               destination
bw_ingress  all  --  anywhere             anywhere
ingress_restrictions  all  --  anywhere             anywhere
egress_restrictions  all  --  anywhere             anywhere

nie ma to znaczenia  czy  dla całej klasy czy dla konkretngo ip

8 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

No, tylko że ty tej wymienionej reguły nie masz...

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

9 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

No   bo zrobiłem  restart routera i  się wykasowała  reguła dla pierwszego IP dla tego
na nowo  podałem  adres   z codespace  51.124.243.139

10 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

Zrób  iptables -v -L i pokaż.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

11 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

root@Gargoyle-Luizjana:~# iptables -v -L
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination
    0     0 DROP       all  --  any    any     51.124.243.139       anywhere
    0     0 DROP       all  --  any    any     51.124.243.0/24      anywhere
   89 13034 bw_ingress  all  --  pppoe-wan any     anywhere             anywhere
   48  4144 ACCEPT     all  --  lo     any     anywhere             anywhere             /* !fw3 */
  545  127K input_rule  all  --  any    any     anywhere             anywhere             /* !fw3: Custom input rule chain */
  391 34716 ACCEPT     all  --  any    any     anywhere             anywhere             ctstate RELATED,ESTABLISHED /* !fw3 */
    6   280 syn_flood  tcp  --  any    any     anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN /* !fw3 */
  125 88534 zone_lan_input  all  --  br-lan any     anywhere             anywhere             /* !fw3 */
   26  3578 zone_wan_input  all  --  pppoe-wan any     anywhere             anywhere             /* !fw3 */
    3   544 zone_wan_input  all  --  eth1.2 any     anywhere             anywhere             /* !fw3 */
    0     0 zone_vpn_input  all  --  tun0   any     anywhere             anywhere             /* !fw3 */

Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination
5697 6407K bw_ingress  all  --  pppoe-wan any     anywhere             anywhere
5701 6407K ingress_restrictions  all  --  pppoe-wan any     anywhere             anywhere
1563  370K egress_restrictions  all  --  any    pppoe-wan  anywhere             anywhere
7299 6780K forwarding_rule  all  --  any    any     anywhere             anywhere             /* !fw3: Custom forwarding rule chain */
7174 6751K ACCEPT     all  --  any    any     anywhere             anywhere             ctstate RELATED,ESTABLISHED /* !fw3 */
  124 28526 zone_lan_forward  all  --  br-lan any     anywhere             anywhere             /* !fw3 */
    1    48 zone_wan_forward  all  --  pppoe-wan any     anywhere             anywhere             /* !fw3 */
    0     0 zone_wan_forward  all  --  eth1.2 any     anywhere             anywhere             /* !fw3 */
    0     0 zone_vpn_forward  all  --  tun0   any     anywhere             anywhere             /* !fw3 */
    0     0 reject     all  --  any    any     anywhere             anywhere             /* !fw3 */

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination
   48  4144 ACCEPT     all  --  any    lo      anywhere             anywhere             /* !fw3 */
  566 81806 output_rule  all  --  any    any     anywhere             anywhere             /* !fw3: Custom output rule chain */
  504 77071 ACCEPT     all  --  any    any     anywhere             anywhere             ctstate RELATED,ESTABLISHED /* !fw3 */
    2   294 zone_lan_output  all  --  any    br-lan  anywhere             anywhere             /* !fw3 */
   60  4441 zone_wan_output  all  --  any    pppoe-wan  anywhere             anywhere             /* !fw3 */
    0     0 zone_wan_output  all  --  any    eth1.2  anywhere             anywhere             /* !fw3 */
    0     0 zone_vpn_output  all  --  any    tun0    anywhere             anywhere             /* !fw3 */

12 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

Nic ci się nie złapało na te reguły. Żaden pakiet nie przyszedł z tych adresów źródłowych (i mała uwaga - zrobiłeś regułę na input, to jest ruch przychodzący do routera. Nie forwardowany przez router).

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

13 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

o  i teraz zadziałało

iptables -I FORWARD -s 51.124.243.0/24 -j DROP


ok to ostatnie pytanie: jak to zrobić żeby ta reguła przetrwała  restart    albo zmiany  firewalla  w gui Gargoyle ?

14 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

Wpisz to do /etc/firewall.user

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

15 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

dzięki !

16 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

dobra, odgrzebuję  temat,  zachęcony wpisani ma forum  zrobiłem upgrade z GG 1.13  na Luci 23.05   i powoli uczę się tego.

no ale nie ma iptables  jest nftables.

jak to teraz zablokować ?

17 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

W gui, w luci masz zaporę sieciową, wykilkaj to sobie po prostu...

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

18 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

połowiczny sukces

zrobiłem tak
https://zapodaj.net/plik-iiewbcziWN

i blokowanie forward działa   ale  mogę się połączyć  na port 11  z tych 3 adresów ip (sieci)

co robię  źle ?

19 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

Testujesz to z tych innych sieci czy będąc w lanie?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

20 Odpowiedź przez cyniu88 (edytowany przez cyniu88 2023-08-09 10:48:10)

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

w innych  sieciach, konkretnie  z konsoli w codespace na github

forward jest blokowany  ale połączenie  na port 11 przychodzi  ...

21 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

Czemu ssh masz na jakimś porcie 11? Na 22 jest ssh na routerze. Zmieniłeś sobie port?

W/w reguły (pierwsza blokowania klasy adresowej, druga odblokowania ssh) działa prawidłowo - pierwsza blokuje ruch. Jak byś zamienił je w kolejności bo ssh było by mimo wszystko odblokowane. Więc skoro ci nie działa pierwsza reguła to mogę tylko strzelać
że to nie ta klasa adresowa albo coś za duzo wyklikałes.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

22 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

tak  ssh przeniosłem   na 11.

wykasowałem te reguły i dodałem je od nowa  i  dalej to samo

połączenie na port który jest forwarodwany  zostaje odrzucane

telnet: Unable to connect to remote host: Connection refused

a na porty 11, 21 , 80    moge się połaczyć

Escape character is '^]'.
ee
ewq

HTTP/1.0 400 Bad Request
Content-Type: text/html
Content-Length: 345
Connection: close
Date: Wed, 09 Aug 2023 11:57:25 GMT
Server: lighttpd/1.4.71

<?xml version="1.0" encoding="iso-8859-1"?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
         "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en">
<head>
  <title>400 Bad Request</title>
</head>
<body>
  <h1>400 Bad Request</h1>
</body>
</html>
Connection closed by foreign host.

23 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

Na routerze nie ma lighttpd. Doinstalowałeś czy tak naprawdę to łączysz się gdzieś indziej? Jeżeli to maszyna w lanie to nadal - to jest forward a nie input routera, więc nie to blokujesz.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

24 Odpowiedź przez cyniu88

  • Zarejestrowany: 2012-11-16
  • Posty: 400

Odp: Blokada połączeń przychodzących

lighttpd  został przeze mnie zainstalowany na ruterze,  i działa elegancko,  ale mam  potrzebę  blokowania ruchy przychodzącego z dwóch sieci  (trzecia widoczna jest siecią  z githuba dodana jest dla testów).

25 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,354

Odp: Blokada połączeń przychodzących

To inaczej - domyślnie na wanie wszystko jest blokowane. Więc co sam wcześniej otworzyłeś że masz dostęp do tych portów?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona