Dotaz: iptables - blokovat spamujícího uživatele

[bleak]

jeden z uživatelů rozesílá spamy, tcpdump ukazuje neřetržitou komunikaci typu

11:19:41.509522 IP 192.168.X.Y.30042 > mujsmtpserver.25: . ack 315 win 65222
11:19:41.514196 IP mujsmtpserver.25 > 192.168.X.Y.30042: . ack 1755 win 11680

dal jsem na začátek tabulky pro řízení smtp provozu toto:

iptables -t filter -I blocksmtpthrough 1 -s 192.168.X.Y -p tcp --dport 25 -j DROP

a předpokládal jsem, že se dropne komunikace ze zdrojové adresy 192.168.X.Y na cílový port 25. Ale nemá to žádný efekt. Nemám s tímto zkušenosti, prosím o radu, jak správně nastavit blokování.

Odpovědi

[tomk]

Do toho chainu blocksmtpthrough se pakety dostavaji jak? Je to doplneno nejakym pravidlem s tagetem -j blocksmtpthrough v INPUTu (v pripade, ze mujsmtpserver je stejny stroj, kde jsou tato iptables pravidla aplikovana) , nebo ve FORWARDu (v priapde, ze tudy pakety mezi 192.168.x.y a mujserver  jen prochazeji)?

Tomas

 

[Filip Jirsák]

To pravidlo je správně, ale příslušná komunikace se pravděpodobně vůbec nefiltruje řetězcem blocksmtpthrough.

[NN]

iptables -A INPUT -s 192.168.X.Y -p tcp --dport 25 -j DROP ?

NN

[bleak]

iptables -A INPUT -s 192.168.X.Y -p tcp --dport 25 -j DROP ?

zkusil jsem i tohle, ale stále to prochází. Ten stroj jsem nekonfiguroval, takže tápu. Když dám teď iptables -L -v tak vidím (mimo jiné):

Chain INPUT (policy ACCEPT xxxM packets, xxxM bytes)
pkts bytes target     prot opt in     out     source               destination
    0     0 DROP       tcp  --  any    any     tenspamer  anywhere            tcp dpt:smtp

prosím, co bych mohl dělat dále?

[tararingapatam]

To je zase popis problemu jak od dvouletyho decka.

Ten spamer odesila spam skrz tvuj smtp server ?

Pokud ano, vlozils ten prikaz na svem smtp serveru ?

Pokud ho vkladas na routeru, skrz ktery prochazi jeho komunikace s tvym smtp, vloz:

 

iptables -A FORWARD -s 192.168.X.Y -p tcp --dport 25 -j DROP

[bleak]

děkuji, moje znalosti nejsou dobré. smtp je jeden stroj, a z něj prochází komunikace přes druhý stroj - router.

po použití

iptables -A FORWARD -s 192.168.X.Y -p tcp --dport 25 -j DROP

to dle tcpdump vypadá, že je to ukončeno.

[Filip Jirsák]

Řetězec INPUT se týká komunikace, která je určena tomuto počítači – takže by se uplatnil v případě, kdy by SMTP server běžel na routeru. Pokud je někde „za ním“, musíte použít řetězec FORWARD. Třetí možnost je, že je SMTP server ve stejné síti, jako klient, a není to router – pak komunikace přes router vůbec nejde, a musíte nastavit firewall na počítači, kde je SMTP server (nebo nastavit přímo SMTP server, aby toho jednoho klienta odmítal).

Pokud si nejste zcela jist tím, jak přesně paket firewallem prochází, dejte sem raději (jako přílohu) celý výpis

iptables --line-numbers -nvL > firewall.txt
iptables -t nat --line-numbers -nvL >> firewall.txt

a také podle IP adres popsanou topologii sítě (tedy která IP adresa patří klientovi, routeru, SMTP serveru). Stejně tam máte IP adresy z privátního rozsahu, tak není důvod je tajit.