Dotaz: Zakazani pristupu na server z urcite oblasti sveta.

[Doktor]

Je nejaky zpusob jak zakazat kompletne pristup na server (vc. pingu) napr. pro IP z Ciny, Brazilie atd? (Slackware)

Odpovědi

[Michal Marek (twofish)]

http://www.abclinuxu.cz/forum/show/72422

[Doktor]

No jo, ale tam se resi zakazani pro domenu... ale ja potrebuji pro cely server tzn. aby nesel ani ping... pripojit se na FTP, SSH proste komplet server. Zakomponovat to nejak do firewalu, iptables.. proste natvrdo zakazat napr. IP z ciny pro cely server....

[k3]

iptables -A INPUT -s ip/rozash -j DROP

[k3]

prip tam pridat -p icmp

[Karel Borkovec]

Vim, ze lze podle verejne IP zjistit z jake zeme pochazi. Jak se to da zjistit by me zajimalo?

[martin]

http://www.okean.com/asianspamblocks.html - tady je aspoň Čína a Korea

[Doktor]

Ano !! toto je konecne jedno z reseni. Diky za link !!

[k3]

co treba geoip ? http://www.maxmind.com/app/lookup

[Doktor]

Ano.. ale jde tam prave o ty IP... Proto se zeptam znovu pokud to je spatne pochopitelny... Existuje nejaky soft, ktery na serveru (nemyslim jen pro Apache) rozlisi dle IP zda se jedna o IP prichazejici z Ciny, nebo Brazilie? ANO/NE.

[k3]

do ggogle jsem dal geoip a vylezlo z nej:
databaze v csv
a program vcetne zdrojaku ktery se da pouzit k tomu z kama dana IP pochazi

[Doktor]

Toto je vsechno pozde... musi to byt uz na urovni firewallu... ta IP se vubec nesmi dostat na server (proto pisu ani ping) checkovani pres geoip, respektive geoiplookup uz je zpracovani IP na serveru a o toto mi nejde. Nejde ted o to jaky pouzivam firewall, a jak mam nastaveny server. Jde mi ciste o to jestli je to vubec mozne aby se nejakym zpusobem vyhodnotila prichozi IP uz na urovni firewallu jako prichozi z treba Ciny... a nepustilo ji dale. Omlouvam se, jestli se v leccems pletu, moc znalosti ohledne fungovani firewallu apod nemam, jen proste potrebuju zamezit pristup komukoliv z uzemi China, Brazilie, ktere tvori 95% vsech attacku na muj server.

[Martin Tůma]

Vždycky ten paket budeš muset přijmout, abys mohl zjistit z jaký je IP adresy. Zahazovat ty pakety cestou někde v kabelech jaksi nejde...

Řešením je si udělat (třeba s pomocí zmiňovanýho geoIP) seznam zakázanejch adres (respektivě rozsahů) a ty pak normálně na firewallu blokovat.

[Martin Tůma]

A proč vlastně nepoužijete rovnou evil flag?!

[DjAARA]

Slo by ten paket prijmout, pomoci geoip zjistit z jake je lokality a pomoci nejakeho skriptu pote nastavit pravidlo pro firewall pro danou ip nebo lepe danou sit...

[k3]

vyexportoval jsem z geoip ipcka pro jednotlive zemne a tady je vysledek :)