Страница 1 из 1

заполнение таблицы ipfw

Добавлено: 2012-07-23 11:47:43
solodorik
Доброго всем суток! У меня вопрос, может ли ipfw добавлять ip из логов в таблицу ?

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 12:21:15
skeletor
сам - нет, но написать скрипт, который будет парсить логи и добавлять это в таблицу - это возможно.

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 14:53:12
solodorik
я пытаюсь написать правила от брутфорса, поэтому и спрашиваю. а что если использовать ipfwcount вместо счетчика ? считать количество ip-адресов, после 3 совпадений блокировать ip-адрес ?

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 15:09:35
egorchik
Есть множество готовых решений на этот счет
например fail2ban http://www.lissyara.su/articles/freebsd ... /fail2ban/

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 16:02:32
skeletor
solodorik что вы хотите в итоге получить? нужна защита от брутфорса - так и напишите. Решений не мало.

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 16:07:52
solodorik
egorchik писал(а):Есть множество готовых решений на этот счет
например fail2ban http://www.lissyara.su/articles/freebsd ... /fail2ban/
sshguard, fail2ban, bruteblock и другие подобные утилиты работают очень медленно, по сравнению с правилом или скриптом.

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 16:09:38
solodorik
skeletor писал(а):solodorik что вы хотите в итоге получить? нужна защита от брутфорса - так и напишите. Решений не мало.
да она нужна, какие например решения есть ?

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 16:10:00
solodorik
skeletor писал(а):solodorik что вы хотите в итоге получить? нужна защита от брутфорса - так и напишите. Решений не мало.
да она нужна, какие например решения есть ?

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 16:59:45
skeletor
Одно из решений привели выше. Вот список наиболее популярных bruteblock, denyhosts, fail2ban, sshguard,sshit, blocksshd.

Re: заполнение таблицы ipfw

Добавлено: 2012-07-23 17:38:07
Bayerische
Легко. Парсите лог, считаете количество критических значений, загоняете в таблицу.
Под root или с помощью sudo.

Re: заполнение таблицы ipfw

Добавлено: 2012-07-24 20:04:32
solodorik
Bayerische писал(а):Легко. Парсите лог, считаете количество критических значений, загоняете в таблицу.
Под root или с помощью sudo.
Можешь скинуть решение ?

Re: заполнение таблицы ipfw

Добавлено: 2012-07-24 20:08:49
Bayerische
Чтобы скинуть решение, надо знать, что решать.
Всё по месту подгоняется, само собой.

Re: заполнение таблицы ipfw

Добавлено: 2012-07-25 9:35:26
egorchik
solodorik писал(а):
egorchik писал(а):Есть множество готовых решений на этот счет
например fail2ban http://www.lissyara.su/articles/freebsd ... /fail2ban/
sshguard, fail2ban, bruteblock и другие подобные утилиты работают очень медленно, по сравнению с правилом или скриптом.
ну не знаю, у меня fail2ban работает отлично. Не разу не видел, что у брутфорсера получалось больше попыток подбора чем в конфиге прописано.
Fail2Ban вроде на питоне написан, он детектит ротацию логов и тп. Вы скрипт как планируйте запускать? Кроном? Любые решения в виде демона явно быстрее.

Re: заполнение таблицы ipfw

Добавлено: 2012-07-26 7:12:53
solodorik
egorchik писал(а):
solodorik писал(а):
egorchik писал(а):Есть множество готовых решений на этот счет
например fail2ban http://www.lissyara.su/articles/freebsd ... /fail2ban/
sshguard, fail2ban, bruteblock и другие подобные утилиты работают очень медленно, по сравнению с правилом или скриптом.
ну не знаю, у меня fail2ban работает отлично. Не разу не видел, что у брутфорсера получалось больше попыток подбора чем в конфиге прописано.
Fail2Ban вроде на питоне написан, он детектит ротацию логов и тп. Вы скрипт как планируйте запускать? Кроном? Любые решения в виде демона явно быстрее.
а правила есть ?

Re: заполнение таблицы ipfw

Добавлено: 2012-07-26 9:39:08
solodorik
можно будет поставить правила такие что
add deny tcp from any to y.y.y.y 22 in via ${внешний интерфейс шлюза}
add allow tcp from x.x.x.x to y.y.y.y 22 in via ${внешний интерфейс шлюза}
Где:
х.х.х.х - это твой внешний ип адрес, с которого будешь подключаться
y.y.y.y - внешний Ip шлюза к которому подключаешься

и по аналогии поставить такие же правила для других портов? например 23,25, 80, 8080, 110, 21 и др?

Re: заполнение таблицы ipfw

Добавлено: 2012-07-26 10:47:48
Анонимус Негодуе

Код: Выделить всё

man ipfw
читать до просветления

The packet passed to the firewall is
compared against each of the rules in the ruleset, in rule-number order
(multiple rules with the same number are permitted, in which case they
are processed in order of insertion). When a match is found, the action
corresponding to the matching rule is performed.

Re: заполнение таблицы ipfw

Добавлено: 2012-07-26 11:36:32
egorchik
solodorik писал(а):
egorchik писал(а):
solodorik писал(а):
egorchik писал(а):Есть множество готовых решений на этот счет
например fail2ban http://www.lissyara.su/articles/freebsd ... /fail2ban/
sshguard, fail2ban, bruteblock и другие подобные утилиты работают очень медленно, по сравнению с правилом или скриптом.
ну не знаю, у меня fail2ban работает отлично. Не разу не видел, что у брутфорсера получалось больше попыток подбора чем в конфиге прописано.
Fail2Ban вроде на питоне написан, он детектит ротацию логов и тп. Вы скрипт как планируйте запускать? Кроном? Любые решения в виде демона явно быстрее.
а правила есть ?
У меня стоит правило

Код: Выделить всё

# Правило для Бана
${fw} add drop ip from table\(0\) to any
Fail2Ban добавляет IPшники брутфорсеров в таблицу.
Кто-то любит разбивать по каждому сервису отдельно баны, то есть несколько таблиц тогда.
Критерии, по которым отбираются претенденты и в какие таблицы пихаются - настраиваются в конфигах Fail2Ban, там все просто

Re: заполнение таблицы ipfw

Добавлено: 2012-07-26 17:27:16
Nadman
egorchik писал(а):
solodorik писал(а):
egorchik писал(а):
solodorik писал(а):
egorchik писал(а):Есть множество готовых решений на этот счет
например fail2ban http://www.lissyara.su/articles/freebsd ... /fail2ban/
sshguard, fail2ban, bruteblock и другие подобные утилиты работают очень медленно, по сравнению с правилом или скриптом.
ну не знаю, у меня fail2ban работает отлично. Не разу не видел, что у брутфорсера получалось больше попыток подбора чем в конфиге прописано.
Fail2Ban вроде на питоне написан, он детектит ротацию логов и тп. Вы скрипт как планируйте запускать? Кроном? Любые решения в виде демона явно быстрее.
а правила есть ?
У меня стоит правило

Код: Выделить всё

# Правило для Бана
${fw} add drop ip from table\(0\) to any
Fail2Ban добавляет IPшники брутфорсеров в таблицу.
Кто-то любит разбивать по каждому сервису отдельно баны, то есть несколько таблиц тогда.
Критерии, по которым отбираются претенденты и в какие таблицы пихаются - настраиваются в конфигах Fail2Ban, там все просто
а как определить ip, который стоит банить ?

извиняюсь, меня наверно неправильно поняли. мне хотелось как защитить от брутфорса правилам IPFW порты ftp,smtp,http,pop3,mysqld,https, ftps, ustp, imap, ipmaps, pop3s. У кого есть правила буду премного благодарен)

Re: заполнение таблицы ipfw

Добавлено: 2012-07-28 1:40:23
solodorik
ребят не ужение нет никаких правил по их блокировки или способов кроме скриптов и утилит ?