[Мини-гайд] Защита сервера средствами iptables

Shaman · янв 14, 2012

не продашь защиту,сделанную полностью?

Naxer · янв 15, 2012

Присоединяюсь к вопросу

ТАМИОР · янв 21, 2012

Пилад, прежде чем что-то сказать подумай не будешь ли ты ошибаться.
Лично у меня на дедике пхпадмин стоял на 443 порту по хттпс протоколу =)

Для тех кто хочет купить, отпишите в ЛС скайпы или другие контакты для связи.

ТАМИОР · июл 9, 2012

Собственно, как и советовали, вот скриптик.
Код:
#!/bin/sh

#clear all

iptables -F



#default

iptables -P INPUT ACCEPT

iptables -P FORWARD ACCEPT

iptables -P OUTPUT ACCEPT

iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT



#local

iptables -A INPUT  -i lo  -j ACCEPT



#open

iptables -A INPUT -p tcp --dport 21 -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp --dport 443 -j ACCEPT

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p udp --dport 9987 -j ACCEPT

iptables -A INPUT -p tcp --dport 30033 -j ACCEPT

iptables -A INPUT -p tcp --dport 10011 -j ACCEPT



#close

iptables -P INPUT DROP



#save

iptables-save > /root/firewall.conf

sleep 1

iptables-restore < /root/firewall.conf



iptables -L --line-number



echo "All rules LOAD"
Теперь объясню что к чему.

Делал для себя, для своего вэб сервера. Переделать под игровой не проблема.

#clear all - очищает все ранее установленные правила.

#default - политики по умолчанию (возможно там есть и лишние но на скорость не влияли пока что).

#local - разрешаем локальные соединения.

#open - список открытых портов.

#close - закрываем всё остальное.

#save - сохранение правил.

Редактируем под себя, закидываем в /etc/init.d/

В консольке пишем:
Код:
chmod +x /etc/init.d/name_your_script

update-rc.d name_your_script 90
name_your_script - имя файла в котором будут правила.

90 - хз почему так, нашел на убунтологии.

После этой процедуры правила будут прописываться автоматически при старте системы.

Систему ограничения количества соединений пока в разработке. В новых версиях iptables нет политики --update. Есть несколько вариантов обхода такой проблемы, либо пересобрать ядро iptables, либо обходиться другими правилами.

Вопросы сюда. В скайп, ЛС, асю не писать.

При копировании на другие ресурсы указываем копирайты.

(С) ТАМИОР aka Ниоро

ТАМИОР · июл 9, 2012

upd:
Выкладываю список IP, с которых во времена моего проекта велась атака на сервер.
(Раскрыть)
Спойлер
Код:
46.29.119.161
46.29.117.53
188.186.219.192
94.100.191.203
82.145.210.158
46.159.204.184
94.77.184.84
94.100.191.202
94.100.191.201
94.100.191.204
95.135.152.193
213.227.217.240
89.204.31.55
95.57.153.38
94.255.85.66
93.157.47.1
212.12.25.147
93.127.94.132
77.121.60.54
188.186.194.118
46.29.119.161
212.26.247.13
95.135.254.164
195.60.174.90
188.186.219.192
94.100.191.203
2.94.145.76
31.29.134.155
78.37.98.245 
178.205.50.100

andrey3281 · янв 7, 2013

Тамиор, здраствуй. У меня такая проблема вот нашел твой скриптик:

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.
# Not shared.
# Автор не гарантирует 100% защиту.
# Автор не несет ответственности, если Вас взломают.
# После измненеий, внесенных Вами, автор не несет ни какой ответственности за работоспособность данной защиты.
# By Nioro v4.2 stable client.

# Установленные соединения разрешены
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Разрешение локального трафика
iptables -A INPUT -i lo -j ACCEPT

# Ограничение порта ssh и ftp
iptables -A INPUT -p tcp -s ваш айпи --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j REJECT
iptables -A INPUT -p tcp -s ваш айпи --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT
iptables -A INPUT -p tcp -s ваш айпи --dport 23 -j ACCEPT
iptables -A INPUT -p tcp --dport 23 -j REJECT

# Ограничение порта IWeb, если порт не стандартный, изменить 8080 на свой
iptables -A INPUT -p tcp -s ваш айпи --dport 8080 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -j REJECT

# Ограничение порта протокола SSL (phpnyadmin, если используется данный протокол)
iptables -A INPUT -p tcp ваш айпи --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j REJECT

# Ограничение порта сервера баз данных
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 3306 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j REJECT

# Ограничение порта авторизации
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 29200 -j ACCEPT
iptables -A INPUT -p tcp --dport 29200 -j REJECT

# Запрещенные для соединения адреса на игровой порт сервера

iptables -A INPUT -p tcp -s 188.186.219.192 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 82.145.210.158 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 46.159.204.184 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.77.184.84 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.202 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.201 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.204 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.135.152.193 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 213.227.217.240 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 89.204.31.55 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.57.153.38 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.255.85.66 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 93.157.47.1 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 212.12.25.147 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 93.127.94.132 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 77.121.60.54 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 188.186.194.118 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 212.26.247.13 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.135.254.164 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 195.60.174.90 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 2.94.145.76 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 31.29.134.155 --dport 29000 -j REJECT

# Разрешение игрового порта сервера
iptables -A INPUT -p tcp --dport 29000 -j ACCEPT

# Запрещенные для соединения адреса на web-сервер
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.29.117.53 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 82.145.210.158 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.159.204.184 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.77.184.84 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.202 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.201 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.204 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.135.152.193 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 213.227.217.240 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 89.204.31.55 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.57.153.38 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.255.85.66 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 93.157.47.1 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 212.12.25.147 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 93.127.94.132 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 77.121.60.54 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.194.118 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 212.26.247.13 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.135.254.164 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 195.60.174.90 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 2.94.145.76 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 31.29.134.155 --dport 80 -j REJECT

# Разрешение порта web-сервера
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# Ниже правила настраиваются пользователем под свой тип
# Ограничение количества запросов к порту web-сервера в минуту 10 запросов
iptables -A INPUT -p tcp --dport 80 -m recent --name web --update --seconds 10 --hitcount 10 -j REJECT
iptables -A INPUT -p tcp --dport 80 -m recent --name web --set -j ACCEPT

# Ограничение количество запросов к серверу авторизации в 30 секунд 5 запросов
iptables -A INPUT -p tcp --dport 8080 -m recent --name auth --update --seconds 30 --hitcount 5 - REJECT
iptables -A INPUT -p tcp --dport 29200 -m recent --name auth --set -j ACCEPT
#iptables -A INPUT -p udp --dport 29200 -m recent --name auth --update --seconds 30 --hitcount 5 - REJECT
#iptables -A INPUT -p udp --dport 29200 -m recent --name auth --set -j ACCEPT

# Ограничение количества запросов к игровому порту сервера в минуту 50 запросов
iptables -A INPUT -p tcp --dport 29000 -m recent --name game --update --seconds 60 --hitcount 50 - REJECT
iptables -A INPUT -p tcp --dport 29000 -m recent --name game --set -j ACCEPT
#iptables -A INPUT -p udp --dport 29000 -m recent --name game --update --seconds 60 --hitcount 50 - REJECT
#iptables -A INPUT -p udp --dport 29000 -m recent --name game --set -j ACCEPT

# Закрытие всего остального
iptables -P INPUT REJECT

exit 0
Нажмите, чтобы раскрыть...

так вот, что делать если у меня дин. ип?? Вчера поставил на сервер который стоит на впс так вот у меня ноу-ип стоит вписал я свой ноу ип туда и поставил на серв. Дело в том что сервер рестартанулся, у меня на айвеб и т.д. нормально заходило( у других нет ), утром включа компьютер, пробую коннектится к айвебу или к порту 22 (WinSCP) не заходит... ноу ип включена..пришлось писать в техподдержку чтоб почистили рк.локал...Посоветуй что-то пожалуйста.

wsok · янв 18, 2013

andrey3281 сказал(а): ↑

Тамиор, здраствуй. У меня такая проблема вот нашел твой скриптик:

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.
# Not shared.
# Автор не гарантирует 100% защиту.
# Автор не несет ответственности, если Вас взломают.
# После измненеий, внесенных Вами, автор не несет ни какой ответственности за работоспособность данной защиты.
# By Nioro v4.2 stable client.

# Установленные соединения разрешены
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Разрешение локального трафика
iptables -A INPUT -i lo -j ACCEPT

# Ограничение порта ssh и ftp
iptables -A INPUT -p tcp -s ваш айпи --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j REJECT
iptables -A INPUT -p tcp -s ваш айпи --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT
iptables -A INPUT -p tcp -s ваш айпи --dport 23 -j ACCEPT
iptables -A INPUT -p tcp --dport 23 -j REJECT

# Ограничение порта IWeb, если порт не стандартный, изменить 8080 на свой
iptables -A INPUT -p tcp -s ваш айпи --dport 8080 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -j REJECT

# Ограничение порта протокола SSL (phpnyadmin, если используется данный протокол)
iptables -A INPUT -p tcp ваш айпи --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j REJECT

# Ограничение порта сервера баз данных
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 3306 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j REJECT

# Ограничение порта авторизации
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 29200 -j ACCEPT
iptables -A INPUT -p tcp --dport 29200 -j REJECT

# Запрещенные для соединения адреса на игровой порт сервера

iptables -A INPUT -p tcp -s 188.186.219.192 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 82.145.210.158 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 46.159.204.184 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.77.184.84 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.202 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.201 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.204 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.135.152.193 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 213.227.217.240 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 89.204.31.55 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.57.153.38 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.255.85.66 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 93.157.47.1 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 212.12.25.147 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 93.127.94.132 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 77.121.60.54 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 188.186.194.118 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 212.26.247.13 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.135.254.164 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 195.60.174.90 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 2.94.145.76 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 31.29.134.155 --dport 29000 -j REJECT

# Разрешение игрового порта сервера
iptables -A INPUT -p tcp --dport 29000 -j ACCEPT

# Запрещенные для соединения адреса на web-сервер
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.29.117.53 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 82.145.210.158 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.159.204.184 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.77.184.84 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.202 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.201 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.204 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.135.152.193 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 213.227.217.240 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 89.204.31.55 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.57.153.38 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.255.85.66 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 93.157.47.1 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 212.12.25.147 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 93.127.94.132 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 77.121.60.54 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.194.118 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 212.26.247.13 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.135.254.164 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 195.60.174.90 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 2.94.145.76 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 31.29.134.155 --dport 80 -j REJECT

# Разрешение порта web-сервера
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# Ниже правила настраиваются пользователем под свой тип
# Ограничение количества запросов к порту web-сервера в минуту 10 запросов
iptables -A INPUT -p tcp --dport 80 -m recent --name web --update --seconds 10 --hitcount 10 -j REJECT
iptables -A INPUT -p tcp --dport 80 -m recent --name web --set -j ACCEPT

# Ограничение количество запросов к серверу авторизации в 30 секунд 5 запросов
iptables -A INPUT -p tcp --dport 8080 -m recent --name auth --update --seconds 30 --hitcount 5 - REJECT
iptables -A INPUT -p tcp --dport 29200 -m recent --name auth --set -j ACCEPT
#iptables -A INPUT -p udp --dport 29200 -m recent --name auth --update --seconds 30 --hitcount 5 - REJECT
#iptables -A INPUT -p udp --dport 29200 -m recent --name auth --set -j ACCEPT

# Ограничение количества запросов к игровому порту сервера в минуту 50 запросов
iptables -A INPUT -p tcp --dport 29000 -m recent --name game --update --seconds 60 --hitcount 50 - REJECT
iptables -A INPUT -p tcp --dport 29000 -m recent --name game --set -j ACCEPT
#iptables -A INPUT -p udp --dport 29000 -m recent --name game --update --seconds 60 --hitcount 50 - REJECT
#iptables -A INPUT -p udp --dport 29000 -m recent --name game --set -j ACCEPT

# Закрытие всего остального
iptables -P INPUT REJECT

exit 0
Нажмите, чтобы раскрыть...

так вот, что делать если у меня дин. ип?? Вчера поставил на сервер который стоит на впс так вот у меня ноу-ип стоит вписал я свой ноу ип туда и поставил на серв. Дело в том что сервер рестартанулся, у меня на айвеб и т.д. нормально заходило( у других нет ), утром включа компьютер, пробую коннектится к айвебу или к порту 22 (WinSCP) не заходит... ноу ип включена..пришлось писать в техподдержку чтоб почистили рк.локал...Посоветуй что-то пожалуйста.
Нажмите, чтобы раскрыть...

сам iptables лишь начинаю постигать, но могу предположить копать в сторону твоей подсети, ведь как правило в динамических IP первые две маски цифр не меняются. Этим самым система будет пропускать все IP с вашего провайдера (по крайней мере даже если кто и вломится, вы будете знать, что нарушитель где то рядом совсем =), однако как показала практика блокирований подсетей, взломщиков из числа пользователей родного провайдера не наблюдалось )

andrey3281 · янв 27, 2013

wsok сказал(а): ↑

andrey3281 сказал(а): ↑

Тамиор, здраствуй. У меня такая проблема вот нашел твой скриптик:

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.
# Not shared.
# Автор не гарантирует 100% защиту.
# Автор не несет ответственности, если Вас взломают.
# После измненеий, внесенных Вами, автор не несет ни какой ответственности за работоспособность данной защиты.
# By Nioro v4.2 stable client.

# Установленные соединения разрешены
iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p udp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

# Разрешение локального трафика
iptables -A INPUT -i lo -j ACCEPT

# Ограничение порта ssh и ftp
iptables -A INPUT -p tcp -s ваш айпи --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j REJECT
iptables -A INPUT -p tcp -s ваш айпи --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j REJECT
iptables -A INPUT -p tcp -s ваш айпи --dport 23 -j ACCEPT
iptables -A INPUT -p tcp --dport 23 -j REJECT

# Ограничение порта IWeb, если порт не стандартный, изменить 8080 на свой
iptables -A INPUT -p tcp -s ваш айпи --dport 8080 -j ACCEPT
iptables -A INPUT -p tcp --dport 8080 -j REJECT

# Ограничение порта протокола SSL (phpnyadmin, если используется данный протокол)
iptables -A INPUT -p tcp ваш айпи --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j REJECT

# Ограничение порта сервера баз данных
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 3306 -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j REJECT

# Ограничение порта авторизации
iptables -A INPUT -p tcp -s 127.0.0.1 --dport 29200 -j ACCEPT
iptables -A INPUT -p tcp --dport 29200 -j REJECT

# Запрещенные для соединения адреса на игровой порт сервера

iptables -A INPUT -p tcp -s 188.186.219.192 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 82.145.210.158 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 46.159.204.184 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.77.184.84 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.202 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.201 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.204 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.135.152.193 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 213.227.217.240 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 89.204.31.55 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.57.153.38 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.255.85.66 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 93.157.47.1 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 212.12.25.147 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 93.127.94.132 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 77.121.60.54 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 188.186.194.118 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 212.26.247.13 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 95.135.254.164 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 195.60.174.90 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 2.94.145.76 --dport 29000 -j REJECT
iptables -A INPUT -p tcp -s 31.29.134.155 --dport 29000 -j REJECT

# Разрешение игрового порта сервера
iptables -A INPUT -p tcp --dport 29000 -j ACCEPT

# Запрещенные для соединения адреса на web-сервер
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.29.117.53 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 82.145.210.158 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.159.204.184 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.77.184.84 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.202 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.201 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.204 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.135.152.193 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 213.227.217.240 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 89.204.31.55 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.57.153.38 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.255.85.66 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 93.157.47.1 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 212.12.25.147 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 93.127.94.132 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 77.121.60.54 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.194.118 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 46.29.119.161 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 212.26.247.13 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 95.135.254.164 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 195.60.174.90 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 188.186.219.192 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 94.100.191.203 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 2.94.145.76 --dport 80 -j REJECT
iptables -A INPUT -p tcp -s 31.29.134.155 --dport 80 -j REJECT

# Разрешение порта web-сервера
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# Ниже правила настраиваются пользователем под свой тип
# Ограничение количества запросов к порту web-сервера в минуту 10 запросов
iptables -A INPUT -p tcp --dport 80 -m recent --name web --update --seconds 10 --hitcount 10 -j REJECT
iptables -A INPUT -p tcp --dport 80 -m recent --name web --set -j ACCEPT

# Ограничение количество запросов к серверу авторизации в 30 секунд 5 запросов
iptables -A INPUT -p tcp --dport 8080 -m recent --name auth --update --seconds 30 --hitcount 5 - REJECT
iptables -A INPUT -p tcp --dport 29200 -m recent --name auth --set -j ACCEPT
#iptables -A INPUT -p udp --dport 29200 -m recent --name auth --update --seconds 30 --hitcount 5 - REJECT
#iptables -A INPUT -p udp --dport 29200 -m recent --name auth --set -j ACCEPT

# Ограничение количества запросов к игровому порту сервера в минуту 50 запросов
iptables -A INPUT -p tcp --dport 29000 -m recent --name game --update --seconds 60 --hitcount 50 - REJECT
iptables -A INPUT -p tcp --dport 29000 -m recent --name game --set -j ACCEPT
#iptables -A INPUT -p udp --dport 29000 -m recent --name game --update --seconds 60 --hitcount 50 - REJECT
#iptables -A INPUT -p udp --dport 29000 -m recent --name game --set -j ACCEPT

# Закрытие всего остального
iptables -P INPUT REJECT

exit 0
Нажмите, чтобы раскрыть...

так вот, что делать если у меня дин. ип?? Вчера поставил на сервер который стоит на впс так вот у меня ноу-ип стоит вписал я свой ноу ип туда и поставил на серв. Дело в том что сервер рестартанулся, у меня на айвеб и т.д. нормально заходило( у других нет ), утром включа компьютер, пробую коннектится к айвебу или к порту 22 (WinSCP) не заходит... ноу ип включена..пришлось писать в техподдержку чтоб почистили рк.локал...Посоветуй что-то пожалуйста.
Нажмите, чтобы раскрыть...

сам iptables лишь начинаю постигать, но могу предположить копать в сторону твоей подсети, ведь как правило в динамических IP первые две маски цифр не меняются. Этим самым система будет пропускать все IP с вашего провайдера (по крайней мере даже если кто и вломится, вы будете знать, что нарушитель где то рядом совсем =), однако как показала практика блокирований подсетей, взломщиков из числа пользователей родного провайдера не наблюдалось )
Нажмите, чтобы раскрыть...

а можно поподробнее обяснить как мне это сделать?

ТАМИОР · янв 27, 2013

Это старый скрипт, его лучше объединить с этим:
https://mmorpg-devs.ru/index.php?threads/5819
Что и как тут везде расписано. Будет время, возможно, выложу что-то новое или лучше чем есть.

RevivalDeos · июл 6, 2013

Я всё понимаю, но прости за выражение нахуя зачем открывать 22 и 21 порт? Вы бы ещё рабочий стол, внц поставили, а потом открыли 1 порт. Ещё можно сразу пароль отдать. Нет статического айпи адреса даже не думайте о серверостроении.
Если хотите защитить свою машину, открываете все порты 2-3 айпи-адресам, потом оставляйте только нужные. (22, 21, 1, 443, 80) Это либо уязвимости, либо вы ставите апач на "игровой" сервер. А, если машина сайта и машина сервера в одном дата-центре, то можно, если руки из нормального места, поставить регу на сайт.
А про фтп, я думаю лучше использовать sFTP тогда, если вы и открываете порт, то только один. Простите не сдержался. А у пв же ещё айвеб, тогда и порт айвеба закройте. Так же советую поставить CentOS и не парить себе мозги. Под CentOS куда больше репозиторий, чем под дебиан. А ещё есть сумасшедший ставящие рабочий стол на дебиан под рутом. Так же у дебиана нет нормальной iptables.

default · июл 6, 2013

RevivalDeos сказал(а): ↑

Так же у дебиана нет нормальной iptables.
Нажмите, чтобы раскрыть...

Ну конечно

RevivalDeos · июл 6, 2013

default сказал(а): ↑

Ну конечно
Нажмите, чтобы раскрыть...

Что ну конечно? Её приходится скриптами в init.d настраивать.

pilad · июл 6, 2013

Для параноиков:

(Раскрыть)
Спойлер

Port knocking — это сетевой защитный механизм, действие которого основано на следующем принципе: сетевой порт являются по-умолчанию закрытыми, но до тех пор, пока на него не поступит заранее определённая последовательность пакетов данных, которая «заставит» порт открыться. Например, вы можете сделать «невидимым» для внешнего мира порт SSH, и открытым только для тех, кто знает нужную последовательность.

RevivalDeos · июл 6, 2013

pilad сказал(а): ↑

Для параноиков:

(Раскрыть)
Спойлер

Port knocking — это сетевой защитный механизм, действие которого основано на следующем принципе: сетевой порт являются по-умолчанию закрытыми, но до тех пор, пока на него не поступит заранее определённая последовательность пакетов данных, которая «заставит» порт открыться. Например, вы можете сделать «невидимым» для внешнего мира порт SSH, и открытым только для тех, кто знает нужную последовательность.

Нажмите, чтобы раскрыть...

Не проще приобрести статический айпи? Я всё ещё не до конца понимаю смысл сообщения

pilad · июл 7, 2013

Смысл сообщения.. Смысл защиты.. Раз не видишь смысла - не лезь в дебри. Дебиан и айпитэйблс существуют дольше тебя, и их проектировали не ламеры. Если руки нормально растут и в англиских манах вдумчиво почитать, можно нормально настроить защиту. Нормальная защита в дц стоит от 1500$ в месяц , так что айпитэйблс, прямые руки и мозг - помогут решить проблемы.

alekill · сен 17, 2013

Если роутер и нет лишних людей в сети и открытого wi-fi, то открыть порт для регистрации (80) и игровой (29000) вот и вся защита. Подключиться сможете только вы с другого компьютера в сети, хоть через ssh, хоть через ftp. Ну это само собой подходит только для домашнего сервера, если у вас дома сервер стоит на отдельном ПК

Войти или зарегистрироваться

[Мини-гайд] Защита сервера средствами iptables

Shaman Пользователи

Naxer Пользователи

ТАМИОР ... Пользователи

ТАМИОР ... Пользователи

ТАМИОР ... Пользователи

andrey3281 Пользователи

wsok Программист Пользователи

andrey3281 Пользователи

ТАМИОР ... Пользователи

RevivalDeos Пользователи

default Пользователи

RevivalDeos Пользователи

pilad Команда форума Модератор Пользователи

RevivalDeos Пользователи

pilad Команда форума Модератор Пользователи

alekill Пользователи

Поделиться этой страницей

Войти или зарегистрироваться

[Мини-гайд] Защита сервера средствами iptables

Shaman Пользователи

Naxer Пользователи

ТАМИОР ... Пользователи

ТАМИОР ... Пользователи

ТАМИОР ... Пользователи

andrey3281 Пользователи

wsok Программист Пользователи

andrey3281 Пользователи

ТАМИОР ... Пользователи

RevivalDeos Пользователи

default Пользователи

RevivalDeos Пользователи

pilad Команда форума Модератор Пользователи

RevivalDeos Пользователи

pilad Команда форума Модератор Пользователи

alekill Пользователи

Поделиться этой страницей

Быстрый поиск