UFW: hoe kan ik in hemelsnaam een ip reeks blokkeren ??

[andre-nl]

Ls

ik wordt al maanden lang lastig gevallen door een IP reeks 91.178.x.x  (x = veranderd elke keer)
nu heb ik al een mega lijst met allemaal IP adressen die ik blokkeer in in de "before.rules"  maar dat helpt 4 uurtjes
en dan komt het IP terug met een ander IP, dus dacht ik oke ik blokkeer alles in 1x gehele reeks maar dat werkt niet ?
ik heb in terminal scherm er bij gezet Sudo ufw deny from 91.178.0.0/24 to any port xxxxxx (x= de poort waarop ik lastig gevallen wordt)
als ik ufw status doe zie ik ook netjes dat hij actief er bij staat maar helaas wordt ik nog steeds lastig gevallen door deze "hacker"   

hoe kan ik in 1x gehele reeks 91.178. blokkeren wie heeft de gouden tip

Andre

PS: ik heb ufw gestopt/gestart ofcourse als test of daarom de regel niet werkt .

[Gijsbert]

Kijk hier eens http://wiki.ubuntu-nl.org/community/UbuntuFirewall

[andre-nl]

Kijk hier eens http://wiki.ubuntu-nl.org/community/UbuntuFirewall

Gijs daar had ik deze regel ook vandaan  alleen het lijkt er op dat ik wat verkeerd doe of regel die ik in mijn topic heb staan
toch iets anders moet  ik dacht dat ik met /24 namelijk deze reek geheel zou pakken (ik vermoed dat daar ergens fout gaat).

mvg
Andre

[Johan van Dijk]

sudo ufw deny in from 91.178.0.0/16 to any

Dit zou moeten werken, als het goed is.

[andre-nl]

sudo ufw deny in from 91.178.0.0/16 to any

Dit zou moeten werken, als het goed is.

91.178.0.0/16 to any port xxxxxx  is ook goed want hij "hackt"  maar 1 port bij mij namelijk
maar dan dan heeft het met netwerk klasse te maken soms /24 en /16 is daar misschien ook iets van op internet te vinden ?
maar Johan ik ga dit direct proberen bedankt man !, indien niet zou werken update ik dit topic.

mvg
Andre

[Ron]

Kleine uitleg:
Elk getal is maximaal 255, dus bestaat uit 8 bits.
Het getal achter de "/" geeft het aantal bits aan, waarvoor de regel geldt.
De /16 gaat dus op voor 91.178.*.*
Hopelijk is het nu duidelijker ?

[andre-nl]

Kleine uitleg:
Elk getal is maximaal 255, dus bestaat uit 8 bits.
Het getal achter de "/" geeft het aantal bits aan, waarvoor de regel geldt.
De /16 gaat dus op voor 91.178.*.*
Hopelijk is het nu duidelijker ?

Ron,

als ik het goed begrijp is het dan 2x 255 dus 16 1x 255 zou 8 zijn.
Begrijp ik het zo goed Ron ?.
Bedankt alsvast voor het lezen en de tijd 

Andre

[Johan van Dijk]

Je kan even googlen op "CIDR notatie".
Dat is de term die je zoekt denk ik.

[Ron]

Blijkbaar ben ik niet duidelijk genoeg
Uitgaande van het IP adres:
91.178.0.0/8  blokkeert 91.*.*.*
91.178.0.0/16 blokkeert 91.178.*.*
91.178.0.0/24 blokkeert 91.178.0.*

De "/8" geeft aan, dat de regel alleen voor de eerste 8 bits geldt (91.*.*.*)
De "/16" geeft aan, dat de regel alleen voor de eerste 16 bits geld (91.178.*.*)
De "/24" geeft aan, dat de regel alleen voor de eerste 24 bits geld (91.178.0.*)

Volgens mij begrijpen we elkaar André ............

[andre-nl]

Helaas:  

de regel zit er in is actief maar opnieuw wordt ik gewoon lastig gevallen door 91.178.x.x
vandaag is het een 91.178.244.155 IP dat weer mij al de gehele dag lastig valt hoe kan dit nu
want ik heb echt de regels actief (zie bijlage)... HELP


Andre

[Johan van Dijk]

Waarom heb je nou een hoop essentiële informatie weggeblokt?
Waarschijnlijk is 1 van de bovenste regels het probleem. Als je daar iets toestaat wordt de rest van de regels niet meer gecontroleerd en wordt het verkeer toegestaan.

Plaats eens de volledige uitvoer van het volgende commando:
sudo ufw status verbose

Hopelijk wordt het dan duidelijker waarom het niet werkt.

[ivo]

Waarom heb je nou een hoop essentiële informatie weggeblokt?
Waarschijnlijk is 1 van de bovenste regels het probleem. Als je daar iets toestaat wordt de rest van de regels niet meer gecontroleerd en wordt het verkeer toegestaan.

Plaats eens de volledige uitvoer van het volgende commando:
sudo ufw status verbose

Hopelijk wordt het dan duidelijker waarom het niet werkt.

+1
Standaard valkuil.
Deny (of drop) regels altijd vooraan zetten..............

[andre-nl]

Waarom heb je nou een hoop essentiële informatie weggeblokt?
Waarschijnlijk is 1 van de bovenste regels het probleem. Als je daar iets toestaat wordt de rest van de regels niet meer gecontroleerd en wordt het verkeer toegestaan.

Plaats eens de volledige uitvoer van het volgende commando:
sudo ufw status verbose

Hopelijk wordt het dan duidelijker waarom het niet werkt.

+1
Standaard valkuil.
Deny (of drop) regels altijd vooraan zetten..............

hallo ?.

ik ben helaas nog maar een korte tijd bezig en ik begrijp niet wat u bedoeld
kunt u mij een voorbeeld geven hoe de regel dan moet staan ?

Bedankt.

mvg
Andre

[Johan van Dijk]

De volgorde van de regels is ook belangrijk, net als de standaardactie die ingesteld is voor wanneer het verkeer aan geen enkele regel voldoet.

Is de standaardactie "toestaan", dan wordt alles toegestaan, tenzij er een regel is die dat verkeer blokkeert.
Is de standaard "blokkeren", dan wordt alles geblokkeerd, tenzij je het expliciet toestaat.
Heb je niets aan de instellingen veranderd, dan staat hij alles toe.

De volgorde van de regels is belangrijk, omdat UFW stopt met het vergelijken van de regels zodra er een match is.
Is de eerste regel die hij tegenkomt die overeenkomt met het soort pakket "toestaan", dan staat hij het toe en zoekt hij niet of er verderop nog een regel staat die het misschien blokkeert.

[andre-nl]

De volgorde van de regels is ook belangrijk, net als de standaardactie die ingesteld is voor wanneer het verkeer aan geen enkele regel voldoet.

Is de standaardactie "toestaan", dan wordt alles toegestaan, tenzij er een regel is die dat verkeer blokkeert.
Is de standaard "blokkeren", dan wordt alles geblokkeerd, tenzij je het expliciet toestaat.
Heb je niets aan de instellingen veranderd, dan staat hij alles toe.

De volgorde van de regels is belangrijk, omdat UFW stopt met het vergelijken van de regels zodra er een match is.
Is de eerste regel die hij tegenkomt die overeenkomt met het soort pakket "toestaan", dan staat hij het toe en zoekt hij niet of er verderop nog een regel staat die het misschien blokkeert.

Hallo Johan,

Betekend dit dat ik alle regels moet verwijderen.
en dan handmatig opnieuw moet invullen ?, want het lastige er aan dat je niet terug kan vinden in een file zo als before.rules.
Is hier niet wat mee te doen ?,  misschien is dit vragen naar de bekende weg maar een leek als ik wordt helaas lastig gevallen
en mijn kennis is niet voldoende om deze klote "hack"  tegen te houden want ik heb inmiddels in before.rules 60 IP adressen staan allemaal met 91.178
ik weet niet waar de ip adressen vandaan halen maar blijkbaar is dit geen probleem ?.

mvg
Andre

[Johan van Dijk]

Die before.rules en andere configuratiebestanden van UFW zou je niet aan moeten passen.
Nergens voor nodig in dit geval, en bij verkeerd gebruik kan het zelfs contraproductief zijn.

Je kan met "sudo ufw insert <regelnummer> <regel>" een regel op een hogere plaats invoegen.


Het handigste is denk ik om eens helemaal schoon te beginnen met UFW. Zet alle bestanden dus weer terug naar hun oorspronkelijke staat en verwijder alle regels.

Zet de firewall tijdelijk uit, desnoods verbreek je eerst de internetverbinding.
sudo ufw disable

Zet de standaardactie op DENY:
sudo ufw default deny

Voeg je blokkeerregels toe:
sudo ufw deny in from 91.178.0.0/16 to any
enz.

Hierna de dingen die je WEL wil toestaan.
sudo ufw allow XYZ

Zet UFW aan:
sudo ufw enable

Verder ben ik wel heel erg benieuwd naar het soort aanvallen wat je ziet, op welke service die gericht zijn en waarom die aanvallen gebeuren.

[Johan van Dijk]

Overigens is er ook een grafisch programma: GUFW.
Dat zal het instellen misschien wat makkelijker maken.

In onze documentatie op de wiki is ook wel een handleiding te vinden voor UFW.

[andre-nl]

Overigens is er ook een grafisch programma: GUFW.
Dat zal het instellen misschien wat makkelijker maken.

In onze documentatie op de wiki is ook wel een handleiding te vinden voor UFW.

Johan,

dat was net mijn volgende vraag 
GUFW werkt deze met de instellingen die ik al gezet heb met ufw ?.
dat zou perfect zijn ivm aanpassen en alles recht zetten.

Andre

[ivo]

dat was net mijn volgende vraag 
GUFW werkt deze met de instellingen die ik al gezet heb met ufw ?.
dat zou perfect zijn ivm aanpassen en alles recht zetten.

Andre

Ja, die pakt die instellingen.

[Mikkel]

vandaag is het een 91.178.244.155 IP dat weer mij al de gehele dag lastig valt hoe kan dit nu

Heb je dat IP-adres al eens ingevoerd in menu Systeem, Beheer, Netwerkhulpmiddelen, tabblad Whois?

Code: [Selecteer]

% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: This output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '91.178.240.0 - 91.178.255.255'

inetnum:        91.178.240.0 - 91.178.255.255
netname:        BE-BELGACOM-ADSL1
descr:          ADSL-GO-PLUS
descr:          Belgacom ISP SA/NV
country:        BE
admin-c:        SN2068-RIPE
tech-c:         SN2068-RIPE
remarks:        rev-srv:        ns1.skynet.be
remarks:        rev-srv:        ns2.skynet.be
remarks:        rev-srv:        ns3.skynet.be
remarks:        rev-srv:        ns4.skynet.be
status:         ASSIGNED PA
mnt-by:         SKYNETBE-MNT
mnt-by:         SKYNETBE-ROBOT-MNT
source:         RIPE # Filtered
remarks:        rev-srv attribute deprecated by RIPE NCC on 02/09/2009

role:           Skynet NOC administrators
address:        Belgacom SA de droit public
address:        ANS/ROC/RNO/IEC - TGX Building
address:        Boulevard du Roi Albert II, 27
address:        B-1030 Bruxelles
address:        Belgium
phone:          +32 2 202-4111
fax-no:         +32 2 203-6593
abuse-mailbox:  abuse@skynet.be
admin-c:        BIEC1-RIPE
tech-c:         BIEC1-RIPE
nic-hdl:        SN2068-RIPE
remarks:        ******************************************
remarks:        Abuse notifications to: abuse@belgacom.be
remarks:        Abuse mails sent to other addresses will be ignored !
remarks:        ******************************************
remarks:        Network problems to: noc@skynet.be
remarks:        Peering requests to: peering@skynet.be
mnt-by:         SKYNETBE-MNT
source:         RIPE # Filtered

% Information related to '91.176.0.0/14AS5432'

route:          91.176.0.0/14
descr:          SKYNETBE-CUSTOMERS
origin:         AS5432
mnt-by:         SKYNETBE-MNT
source:         RIPE # Filtered
Een mailtje naar abuse@belgacom.be is misschien het overwegen waard?

[andre-nl]

vandaag is het een 91.178.244.155 IP dat weer mij al de gehele dag lastig valt hoe kan dit nu

Heb je dat IP-adres al eens ingevoerd in menu Systeem, Beheer, Netwerkhulpmiddelen, tabblad Whois?

Code: [Selecteer]

% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: This output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '91.178.240.0 - 91.178.255.255'

inetnum:        91.178.240.0 - 91.178.255.255
netname:        BE-BELGACOM-ADSL1
descr:          ADSL-GO-PLUS
descr:          Belgacom ISP SA/NV
country:        BE
admin-c:        SN2068-RIPE
tech-c:         SN2068-RIPE
remarks:        rev-srv:        ns1.skynet.be
remarks:        rev-srv:        ns2.skynet.be
remarks:        rev-srv:        ns3.skynet.be
remarks:        rev-srv:        ns4.skynet.be
status:         ASSIGNED PA
mnt-by:         SKYNETBE-MNT
mnt-by:         SKYNETBE-ROBOT-MNT
source:         RIPE # Filtered
remarks:        rev-srv attribute deprecated by RIPE NCC on 02/09/2009

role:           Skynet NOC administrators
address:        Belgacom SA de droit public
address:        ANS/ROC/RNO/IEC - TGX Building
address:        Boulevard du Roi Albert II, 27
address:        B-1030 Bruxelles
address:        Belgium
phone:          +32 2 202-4111
fax-no:         +32 2 203-6593
abuse-mailbox:  abuse@skynet.be
admin-c:        BIEC1-RIPE
tech-c:         BIEC1-RIPE
nic-hdl:        SN2068-RIPE
remarks:        ******************************************
remarks:        Abuse notifications to: abuse@belgacom.be
remarks:        Abuse mails sent to other addresses will be ignored !
remarks:        ******************************************
remarks:        Network problems to: noc@skynet.be
remarks:        Peering requests to: peering@skynet.be
mnt-by:         SKYNETBE-MNT
source:         RIPE # Filtered

% Information related to '91.176.0.0/14AS5432'

route:          91.176.0.0/14
descr:          SKYNETBE-CUSTOMERS
origin:         AS5432
mnt-by:         SKYNETBE-MNT
source:         RIPE # Filtered
Een mailtje naar abuse@belgacom.be is misschien het overwegen waard?

klopt en ook gedaan, kreeg een mailtje met 3 zinnen terug dat ze het gingen onderzoeken.
En zou ik valse beschuldigen maken dat alle kosten op mij verhaald zouden worden.
Kortom ook een erg motiverende mail of niet dan ?.

maar goed tot nu toe hebben ze gewoon geen (censuur)  gedaan

Andre

[Mikkel]

...... kreeg een mailtje met 3 zinnen terug dat ze het gingen onderzoeken.
En zou ik valse beschuldigen maken dat alle kosten op mij verhaald zouden worden.
Kortom ook een erg motiverende mail of niet dan ?

Heeeeeeeeeel vriendelijk, maar niet heus. Mochten ze ontkennen dat zij 'de dader' zijn, dan heb je toch wel een lijstje voor ze met dag en tijd waarop er aan de deur gerammeld werd, neem ik aan?

[andre-nl]

...... kreeg een mailtje met 3 zinnen terug dat ze het gingen onderzoeken.
En zou ik valse beschuldigen maken dat alle kosten op mij verhaald zouden worden.
Kortom ook een erg motiverende mail of niet dan ?

Heeeeeeeeeel vriendelijk, maar niet heus. Mochten ze ontkennen dat zij 'de dader' zijn, dan heb je toch wel een lijstje voor ze met dag en tijd waarop er aan de deur gerammeld werd, neem ik aan?

ongeveer 60 tot 80 ip adressen en ik denk een mb of 9 aan log files elke 3 seconden meld hij zich helaas.

Andre

[andre-nl]

iemand een TIP ik heb GUFW actief gezet en dan zou je de regels moeten kunnen aanpassen.
maar alle regels die ik via sudo commando in terminal scherm heb gezet zijn licht grijs, iemand een idee ?

Andre

Ps: zie bijlage...

[Johan van Dijk]

Heb je alle configuratiebestanden al eens terug gezet naar de standaardwaarden?
Dus even helemaal opnieuw beginnen, bij het begin?
Je hebt nu op allerlei plekken allerlei instellingen aangepast, en wij hebben geen idee waar en wat.
Wij kunnen ook niet zien welke instellingen je er in hebt gezet en of die misschien de boosdoener zijn...

Als je niet overnieuw wilt beginnen, maak dan eens bekend wat je overal ingesteld hebt.
Plaats de inhoud eens hier, dan kijken we met je mee. De inhoud van alle configuratiebestanden van UFW is dan belangrijk.

En stop eens met het wegblokken van essentiële informatie. Hoe kunnen we je nou helpen als je maar gedeeltelijke configuraties post, en dan ook nog het belangrijkste achter een zwart blokje verstopt?