[IPTABLES] internet blokken voor 1 ip

[Verwijderd]

Hoi, ik probeer voor 1 ip in mijn netwerk het internet te blokken. Ik heb het volgende:

code:

iptables -A OUTPUT --source 192.168.0.2 -j DROP

Alleen blokt hij nu alleen de directe connectie op mijn router en internet enzo stuurt hij wel gewoon door. Iemand een idee wat ik fout doe?

[BrZ]

je moet niet OUTPUT droppen, maar forward....
dus:

code:

iptables -A FORWARD -s 192.168.0.2 -j DROP

[Verwijderd]

Dat werkt dus ook niet

[Jelmer]

vermoedelijk ACCEPT je het eerst

laat je iptables eens zien (iptables -L; iptables -L -t nat)

[Verwijderd]

code:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
DROP       tcp  --  anywhere             anywhere           tcp dpt:telnet
DROP       tcp  --  anywhere             anywhere           tcp dpt:netbios-ssn
DROP       tcp  --  anywhere             anywhere           tcp dpt:3128
DROP       tcp  --  anywhere             anywhere           tcp dpt:afs3-fileserver
DROP       tcp  --  anywhere             anywhere           tcp dpt:10000

Chain FORWARD (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  192.168.0.0/24      !192.168.0.0/24
ACCEPT     all  -- !192.168.0.0/24       192.168.0.0/24

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
MASQUERADE  all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
root@Urridium:~#

[Verwijderd]

is het niet beter om gewoon voor die host niet te masqueraden??
Als je dat niet doet heeft ie geen internet, waarom eerst gateway zijn om het daarna weer te blokken.. (kan natuurlijk wel handig zijn indien je veel clients heb, maar toch....)

(is het anders niet nodig om de nat-table te droppen ipv forward ??)

[Verwijderd]

nou, omdat ik alleen het internet van de pc van m'n zusje af moet sluiten

[Buffy]

De -A optie staat voor append zodat de regel aan het einde van de chain wordt toegevoegd. Na de ACCEPT regel dus
Je zult dus de insert optie (-I) moeten gebruiken om de drop regel aan de begin van de chain te plaatsen, zo dus:

code:

iptables -I FORWARD 1 -s 192.168.0.2 -j DROP

[Verwijderd]

Onderstaand is een bash scriptje wat ik gebruik om ipadressen te droppen met iptables, verry handy


<bash script>


#!/bin/bash

# source /usr/local/share/dynfw.sh

args 2 $# "${0} IPADDR {on/off}" "Drops packets to/from IPADDR. Good for obnoxious
networks/hosts/DoS"

if [ "$2" == "on" ]
then
#rules will be appended or inserted as normal
APPEND="-A"
INSERT="-I"
rec_check ipdrop $1 "$1 already blocked" on
record ipdrop $1
elif [ "$2" == "off" ]
then
#rules will be deleted instead
APPEND="-D"
INSERT="-D"
rec_check ipdrop $1 "$1 not currently blocked" off
unrecord ipdrop $1
else
echo "Error: \"off\" or \"on\" expected as second argument"
exit 1
fi

#block outside IP address that's causing problems
#attacker's incoming TCP connections will take a minute or so to time out,
#reducing DoS effectiveness.

iptables $INSERT INPUT -s $1 -j DROP
iptables $INSERT OUTPUT -d $1 -j DROP
iptables $INSERT FORWARD -d $1 -j DROP
iptables $INSERT FORWARD -s $1 -j DROP

echo "IP ${1} drop ${2}."


</bash script>

[Hagar]

APPEND="-D"

Waar gebruik je die voor?
Of is dat een overblijfsel van een geheime feature die je voor jezelf wilt houden

[Verwijderd]

-No-Comment-

[active2]

Verwijderd schreef op 30 september 2002 @ 18:43:
nou, omdat ik alleen het internet van de pc van m'n zusje af moet sluiten

Zusje vervelend ?

[Verwijderd]

ik zou zo zeggen, probeer dat bovenstaande scrippie eens, dat weet je zekers dat je zussie nooit meer op internet geraakt

[Verwijderd]

active2 schreef op 02 oktober 2002 @ 08:51:
[...]


Zusje vervelend ?

je weet toch hoe zusjes zijn