IPTables не блокирует IP-адрес
У меня проблема с комментаторами спама. Ну, по крайней мере, я так думаю. Я использую CentOS, и мой веб-сервер Apache увеличивает объем ОЗУ, а затем перестает отвечать на запросы и вылетает. Если я запускаю следующую команду:
netstat -anp |grep 'tcp\|udp' | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
Затем я получаю список открытых соединений:
18 112.65.135.54
18 118.98.172.53
19 174.142.104.57
20 91.121.79.99
40 218.69.96.4
Поиск этих IP-адресов на сайте projecthoneypot.com показал мне, что они являются комментаторами спама. Поэтому я подумал, что я просто запретил бы им использование iptables с этой командой:
iptables -A INPUT -s 174.142.104.57 -j REJECT
Я также попытался с помощью команды:
iptables -A INPUT -s 174.142.104.57 -j DROP
Затем я сохранил состояние с помощью: service iptables save
Если я снова выполню команду nestat, эти IP-адреса все еще будут подключены, а число их подключений увеличится.
Кто-нибудь знает, что я делаю не так? service iptables status действительно показывает, что iptables запущен и содержит эти правила. Так что я совершенно в тупике. Любая помощь будет принята с благодарностью.
2 ответа
Не имея возможности увидеть полную конфигурацию брандмауэра, я предполагаю, что вы где-то допустили ошибку. Входящий трафик может быть разрешен некоторым другим правилом, например, разрешающим RELATED и ESTABLISHED трафик, или разрешенным портом или пунктом назначения. Перемещение правила DROP или REJECT вверх в цепочке приведет к тому, что оно совпадет раньше и не будет отменено другим правилом.
Кроме того, если входящий трафик блокируется, существующие подключения будут технически считаться открытыми, пока ваш компьютер не решит, что другой сервер не отвечает. И если ваш компьютер не пытается связаться с удаленным компьютером, то он никогда не узнает, что на другой стороне нет ответа.
У меня такая же проблема.
Вот как я решил это, отредактировав /etc/sysconfig/iptables
Переместить линию блокировки, например
-A ВХОД -s xxx.xxx.xxx.xxx -j DROP
в начало списка -A,
тогда я больше не вижу сообщений о грубой атаке с этого IP.