ipTables blockt nicht.

[SUMAS]

Hallo,

wenn ich ein Spamabsender sperren will von einem bestimmten IP-Bereich, mach ich das so:


iptables -A INPUT -s 62.27.57.0/62.27.57.255 -p tcp -m tcp --dport 25 -j REJECT --reject-with icmp-port-unreachable

Allerdings bekomm ich immernoch Spam aus diesem IP-Bereich. Was ist da falsch???

Danke

[eule]

Deine Netzmaske finde ich etwas ungewoehnlich.

[asi_dkn]

Die Netzwerkmaske ist vermutlich auch falsch, resp. du wolltest den Bereich von 62.27.57.0 bis 62.27.57.255 blocken? Das würde man mit einem Doppelpunkt ":" statt einem Slash schreiben. Alternativ kannst du auch die richtige Netzmaske verwenden wenn du die denn kennst.

[SUMAS]

also ich hab im netz gelesen, dass es mit dem "/" gemacht werden muss.
mit einem ":" kommt ein fehler "host not found"!

[Brocki]

Wegen dem Netzbereich:
Warum machst du nicht:


62.27.57.0/24


Zur weiteren Diagnose Poste doch mal:


iptables -L -v -n


Grüße,
Brocki

[SUMAS]

Naja, es kam auch schon vor, dass ich ab der 3. stelle ein range machen wollte.
Muss ich dann 81.92.100/200 schreiben, oder wie?

Wenn ich

iptables -A INPUT -s 212.222.91.0/255 -p tcp -m tcp --dport 25 -j REJECT --reject-with icmp-port-unreachable

eingebe komm:

iptables v1.3.8: invalid mask `255' specified

Hier mal der auszug:


Chain INPUT (policy ACCEPT 331M packets, 151G bytes)
pkts bytes target prot opt in out source destination
613K 37M REJECT tcp -- * * 195.78.76.178 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
7845 471K REJECT tcp -- * * 69.10.45.20 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
33317 1999K REJECT tcp -- * * 212.222.91.88 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
3417 164K REJECT tcp -- * * 59.41.33.227 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
583 30316 REJECT tcp -- * * 195.140.186.59 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
40486 2429K REJECT tcp -- * * 62.50.41.22 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
14772 886K REJECT tcp -- * * 62.27.57.165 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
20287 1217K REJECT tcp -- * * 212.222.91.65 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
20308 1218K REJECT tcp -- * * 62.50.41.28 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
11011 661K REJECT tcp -- * * 212.222.91.79 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
24113 1447K REJECT tcp -- * * 212.222.91.24 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
10827 650K REJECT tcp -- * * 212.222.91.63 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 212.222.0.0/212.222.255.255 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 62.50.41.0/62.50.41.255 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
3029 133K REJECT tcp -- * * 212.227.87.97 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
24 1440 REJECT tcp -- * * 81.201.117.21 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
12 720 REJECT tcp -- * * 216.36.54.141 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 216.36.54.141 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 62.27.57.0/62.27.57.255 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
995 59700 REJECT tcp -- * * 202.213.221.203 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 58.8.106.188 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 62.27.57.0/62.27.57.255 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 212.222.91.0/212.222.91.255 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 81.92.112.0/81.92.115.255 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable

[asi_dkn]

Du bekommst den Fehler wegen der Netzmaske weil 255 keine gültige Netzmaske ist. Du gibst mit der Maske an welche Bits "maskiert" werden, das kann maximal 32 Bit sein... du willst aber 24 Bit (255.255.255.0).

[SUMAS]

sorry, hab ich jetzt nicht ganz vestanden. wie muss es denn richtig lauten?

[cane]

Falsch:


212.222.91.0/255

Richtig:


212.222.91.0/24

mfg
cane

[asi_dkn]

sorry, hab ich jetzt nicht ganz vestanden. wie muss es denn richtig lauten?
Eventuell wäre es gar keine so dumme Idee wenn du dich mal mit Netzwerkgrundlagen befassen würdest. Schliesslich geht es bei IPTables um nichts anderes als das Netzwerk und du wirst dir selber einen grossen Gefallen tun wenn du auch "weisst" was du da konfigurierst.

[R3dFox_]

Just my 5 Cents:
Generell wuerde ich bei einer Firewall per Default ALLES Droppen (Nicht Rejecten!), und dann einzelne IPs oeffnen.

[HirschHeisseIch]

Just my 5 Cents:
Generell wuerde ich bei einer Firewall per Default ALLES Droppen (Nicht Rejecten!), und dann einzelne IPs oeffnen.

Da hast aber bei nem Server, der im Internet steht, und per se erstmal von jedem erreichbar sein soll verdammt viel zu tun mit dem Freigeben... ;)

Edit:
Auf Port-Ebene macht man das schon mal. Alle Ports zu, und nur die öffnen, die wirklich gebraucht werden. Das ist aber auch eine Glaubens-Frage. ;)
Ports offen lassen, weil eh kein Dienst lauscht vs. Port dicht machen.
Genau so wie reject vs. drop.

[Rain_maker]

Ich könnte ja jetzt gemein sein und fragen, wieso man "unbedingt" droppen und bloß nicht rejecten soll, die Antwort darauf wird sicher lustig (nicht nur aber besonders bei einem Server).

(OK, ein "guter" Grund wäre, daß man dann den einen "fühlbaren" Unterschied hat, daß da auch wirklich ein Paketfilter läuft, weil dieser die Pakete wegwirft anstatt die Arbeit auf den Ports, die -bis auf die Ports der gewünschten Dienste eh zu sein sollten- das OS erledigen zu lassen.)

[madnobody]

hi,

ich wuerde einfach das hier machen.

iptables -A INPUT -s 62.27.57.0/24 -p tcp -m tcp --dport 25 -j DROP

cu chris