Я пытаюсь отфильтровать страну, которая продолжает зондировать мой SMTP-сервер (CentOS6), и я не могу заставить ipset работать прямо в iptables.
Я загрузил IP-адреса этих стран с ipdeny.com и установил список в виде текстового файла. Изначально у меня были все IP-адреса из черного списка в большой длинной цепочке iptables, но это действительно могло отрицательно сказаться на процессоре, поэтому я хотел использовать ipset.
Вот выдержка из этого файла IP-адресов:
185.40.4.31
80.82.65.237
2.60.0.0/14
Итак, теперь я пытаюсь использовать этот список в наборе ipset. Я проверяю, что набор ipset заполнен с помощью «ipset list».
Name: blacklist
Type: hash:net
Header: family inet hashsize 2048 maxelem 65536
Size in memory: 108816
References: 1
Members:
....
185.40.4.31
185.40.152.0/22
...
С этим ipset я добавляю его в iptables:
iptables -A INPUT -p tcp -m set --set blacklist src -j DROP
Но когда я пытаюсь протестировать набор с помощью hping3, пакеты все равно проходят.
hping3 --syn --destport 25 --count 3 -a 185.40.4.31 <server_ip>
Когда я использовал длинную цепочку iptables, все работало, как ожидалось.
Вот сокращенный вывод iptables -L -n (я удалил большинство из 6200+ записей ipdeny)
Chain INPUT (policy DROP)
target prot opt source destination
DROP all -- 217.199.240.0/20 0.0.0.0/0
DROP all -- 217.199.208.0/20 0.0.0.0/0
...
DROP all -- 2.60.0.0/14 0.0.0.0/0
DROP all -- 94.102.50.41 0.0.0.0/0
DROP all -- 80.82.65.237 0.0.0.0/0
DROP all -- 185.40.4.31 0.0.0.0/0
ACCEPT all -- 192.168.2.0/24 0.0.0.0/0
ACCEPT all -- 192.168.1.0/24 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:!0x17/0x02 state NEW
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:27944 state NEW
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:21 state NEW
ACCEPT udp -- 0.0.0.0/0 0.0.0.0/0 udp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 state NEW
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:443 state NEW
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:25
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:587
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:993
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:995
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:143
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:27940
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:110
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmp type 8
LOG all -- 0.0.0.0/0 0.0.0.0/0 LOG flags 0 level 4
DROP all -- 0.0.0.0/0 0.0.0.0/0
DROP tcp -- 0.0.0.0/0 0.0.0.0/0 match-set blacklist src
Chain FORWARD (policy DROP)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
Ваше правило никогда не вступит в силу, потому что вы добавили его в конец цепочки. Непосредственно перед этим является правило отбрасывать весь трафик, поэтому ваше правило никогда не будет выполнено. В iptables правила сопоставляются по порядку; это отличается от многих других межсетевых экранов.
Чтобы решить эту проблему, переместите правило на более раннее место в цепочке. И если вы действительно хотите внести эти адреса в черный список, это должно быть как можно раньше в цепочке, например первое правило.