IPTABLES ip blocken

[mickvdv]

Hallo

Ik weet niet zeker in welk forum ik dit moet dumpen omdat het ook een beetje programmeren is. Ik heb een firewall geschreven in python die gebruik maakt van iptables:
http://www.teux.net/?page_id=8

Ik wil een ipblocken voor ALL het verkeer, maar als ik mijn test pc ping met het geblockte ip komen de connecties nog gewoon door. Dit is het block gedeelte van de firewall:

Code: [Selecteer]

for x in black_list:
        iptables('-A OUTPUT -d '+x+' -j DROP')
        iptables('-A INPUT -s '+x+' -j DROP')
        print "BLACKED "+xx is dus het ipadress, 192.168.1.5. Het ip van de test pc is 192.168.1.6.

Als ik iptables -L doe ziet het er zo uit:

Code: [Selecteer]

mickvdv@server2:~/teux-firewall$ sudo iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination        
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            state NEW
LOG        all  --  anywhere             anywhere            LOG level warning
DROP       all  --  anywhere             anywhere            state INVALID
DROP       tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,PSH,URG
DROP       tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,PSH,ACK,URG
DROP       tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/NONE
DROP       tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN,RST
DROP       tcp  --  anywhere             anywhere            tcp flags:FIN,SYN/FIN,SYN
DROP       tcp  --  anywhere             anywhere            tcp flags:FIN,ACK/FIN
DROP       tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,ACK,URG
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh state NEW
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www state NEW
DROP       all  --  168.168.1.5          anywhere            

Chain FORWARD (policy DROP)
target     prot opt source               destination        
DROP       all  --  anywhere             anywhere            state INVALID

Chain OUTPUT (policy DROP)
target     prot opt source               destination        
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            state NEW
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain state NEW
LOG        all  --  anywhere             anywhere            LOG level warning
DROP       all  --  anywhere             anywhere            state INVALID
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh state NEW
DROP       all  --  anywhere             168.168.1.5Ik weet dat ik iets fout doe, maar ik kom er niet achter wat dat is. Alvarst bedankt voor jullie hulp.

[Gijsbert]

mickvdv, waarom maak je gebruik van een script of is dit een "oefening" voor je?
Gewoon een vraag uit belangstelling.

Met vriendelijke groet,

Gijs

[mickvdv]

Gijs: zo hoef ik niet voor elke server weer op te zoeken hoe het moet, en inderdaat als oefening. Ook kunnen mensen zo een firewall opzetten zonder zich te verdiepen in iptables.

Mick

[Johan van Dijk]

Ik dacht dat juist voor dat doel ufw was gemaakt

[crashit]

Een jaartje geleden ben ik ook wat aan het klooien geweest met IP-tables (door ze zelf te schrijven ). Als je alle andere verkeer wilt droppen, dan moet je die regel helemaal onderaan de IP-table zetten. In mijn geval heb ik het volgende in /etc/iptables.up.rules staan:
-A INPUT -j DROP

Op deze manier blokkeert hij alle andere verkeer waarvoor geen uitzondering is gemaakt met een regel uit het voorgaande tabelletje. Works like a charm. Bij mij in ieder geval

[mickvdv]

He gaat er om dat ik een bepaald ip adres blok. Mijn policy is zowizo al dat ip alle input blok behalve een aantal porten (22 en 80) en icmp. Maar nu wil ik dat de geblockte IP's daar ook niet op komen en me zelfs niet kunnen pingen. Hoe doe ik dat?