black / white listing van b.v. chinese ip adressen

[relaxteb]

Hoi,

Ik ben aan het kijken naar de mogelijkheden om bepaalde ip ranges te blokkeren of gebruik te maken van whitelists. Het gaat dan om b.v. alleen nederlandse ranges te whitelisten of b.v. chinese ranges te blacklisten.
De netwerk lijsten kan je downloaden van ipdeny.com of van www.countryipblocks.net.

Ik heb een mooi script gevonden wat van deze lijsten meteen netwerk objecten kan maken en de bedoeling is dan ze in de configuratie van de firewall te laden. In mijn geval is dat een Cisco ASA 5510.

Ik loop tegen de volgende issues aan ;

- de lijst van netwerken, zowel white- als blacklisting is enorm (white = 100.000+, black=nog veel meer).
Is dit uberhaupt werkbaar ? En wat gebeurd er met de performance van een firewall bij zoveel entries ?

- Is er een tool of script die deze enorme lijst van netwerken doorloopt om te summarizen ?
Er zijn summarization tools en sites te vinden, maar niet een oplossing waar je een berg verschillende netwerken in kan stoppen en een resultaat uit krijgt.

- Zijn er nog andere tips hoe je geo-locatie gebaseerde ip ranges kan white/black listen zonder dat je Firewall configuratie onleesbaar groot wordt ? Wellicht d.m.v andere of losse oplossingen ?

bedankt alvast !

[Predator]

Als je wilt IP ranges blokkeren is er een véél performanter manier dan diegene die jij nu wilt toepassen.
Gooi dat aub NIET in een firewall rule config.

Blackhole routing is een zero-impact oplossing voor wat jij wilt.

Op je internet router(s) maak je routes aan voor die subnets die je wilt blokkeren.
Die routeer je naar de null0 interface.

code:

ip route <subnet> <netmask> null0

Dit geeft weinig performance impact, ook niet voor veel routes...

[Rolfie]

Meestal doe je dit juist op de SMTP Servers. Daar laat je een DNS blacklist gebruiken, en je hebt ze zelfs voor landen codes.

[relaxteb]

bedankt voor de reacties. Ik ga er mee aan de slag !

[alt-92]

APNIC heeft complete exports in CSV staan waar alle netblocks in voorkomen.

[WoC]

Ik gebruik op pfSense de add-on pfBlocker. Die maakt ook gebruik van countryipblocks (of maakte, volgens mij zijn de lijsten niet meer gratis). Ondanks dat het niet specifiek voor Cisco is, misschien toch leuk om door te bladeren voor wat ideeën of tips.