Dotaz: IPTABLES rozsah IP

[divbyzero]

Ahoj, řeším blokovaní rozsahu příchozích IP adres. Máte s tím někdo zkušenosti? Jaký přístup z níže dvou popsaných je podle vás lepší a proč? Jaký používáte vy? Díky za názory!

-A INPUT -m iprange --src-range 64.39.0.1-64.39.255.254 -j DROP

nebo

-A INPUT -s 64.39.0.0/16 -j DROP

---

---

Odpovědi

[MMMMMMMMM]

-A INPUT -s 64.39.0.0/16 -j DROP

Jednoduší na zápis jednoduší pro přehlednost, netřeba tahat další rozšíření.

[Petr Šobáň]

Jinak já používám:

# načtení ze souboru blok_ip

bIFS=$IFS IFS=$'\n'
ip=($(cat blok_ip))
IFS=$bIFS

for a in ${ip[*]}
do $IPTABLES -A INPUT -i $INET_IFACE  -s $a -j DROP
done

# načtení povolených IPv4 ze souboru enable_ip

bIFS=$IFS IFS=$'\n'
ip=($(cat enable_ip))
IFS=$bIFS

for a in ${ip[*]}
do $IPTABLES -A INPUT -i $INET_IFACE  -s $a -p TCP -m state --state NEW -j ACCEPT
done

[Michal Kubeček]

ipset?

[Petr Šobáň]

Používám iptables a skript který spustím při úpravě firewallu a pak to zapíši do konfigurace (iptables save) která se pomocí iptables zase nahrává automaticky po startu.

[Michal Kubeček]

To se nevylučuje, šlo mi o to, že je-li těch adres hodně (a už jsem podobné konstrukce viděl v praxi používat i s počty přesahujícími stovku), bude použití ipset výrazně efektivnější než lineární posloupnost pravidel, která se v nejhorším případě musí otestovat celá.

[Petr Šobáň]

Jasně mě to stačí protože v pravidlech mám pár desítek adres, ty co jsou moc neodbytné a napadají mě služby na serveru.

Na zbytek mám fail2ban aby těch pravidel nebylo tolik.

[Michal Kubeček]

Především ta dvě pravidla nejsou ekvivalentní. Odhlédneme-li od toho, obecně bude rozsah zapsaný pomocí prefixu o něco efektivnější, ale pochybuji, že v reálném provozu bude ten rozdíl vůbec měřitelný. Na druhou stranu, test rozsahu "od do" umožňuje testovat i rozsahy, které prefixem nezapíšete (třeba zrovna ten, který máte v příkladu).