Ip Blocklist, Peerguardian, Iptables e Guarddog

h8er · Messaggio da **h8er** » dom 14 nov 2004, 2:54

ciao vorrei mettere una blocklist di ip nella slackware (per intenderci le blocklist di peerguardian o protowall) ho visto che esiste una versione per linux di peerguardian che altro non fa che inserire la blocklist in iptables, mi posso fidare qualcuno per caso l´ha provato oppure è meglio usare altro?? attualmente uso anche guarddog per cui non vorrei si creassero pericolosi conflitti... grazie a tutti per l´aiuto

Pierluigi · Messaggio da **Pierluigi** » dom 14 nov 2004, 11:44

potresti dare un´occhiata anche a linblock, che è uno script in perl. Personalmente ho provato sia linblock che peerguardian, ma entrambi sono molto lenti. putroppo non conosco alternative.

Messaggio da **useless** » dom 14 nov 2004, 13:37

iptables -I INPUT 1 --source w.x.y.z -j DROP
 
 non finirò mai di dire che imparare una volta x tutte ad usare iptables invece dei vari frontend è tempo ben speso...

h8er · Messaggio da **h8er** » dom 14 nov 2004, 19:18

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE>
 14-11-2004 alle ore 13:37, useless :
 iptables -I INPUT 1 --source w.x.y.z -j DROP
 
 non finirò mai di dire che imparare una volta x tutte ad usare iptables invece dei vari frontend è tempo ben speso... 
 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE>
 
 grazie useless in effetti sto tendando di capire come funziona iptables ed è alquanto complicato, sto cercando di capire anche cosa fa guarddog in iptables ed ho visto che spezza il traffico in più chains a seconda della provenienza, cosa che io non sarei mai riuscito a fare in tempi brevi :-] quantomeno adesso ho un minimo da cui partire, in ogni caso il comando che mi hai dato tu lo devo scrivere per ogni ip della blocklist ?? penso che ci potrei mettere una vita anche perchè so poco di script.. adesso vedo che cavolo fa linblock e poi vedrò se è il caso di riscrivere tutto a mano.. grazie in ogni caso a tutti per l´aiuto

Messaggio da **useless** » dom 14 nov 2004, 19:42

#!/bin/sh
 
 for ip in w.x.y.z a.b.c.d e.f.g.h i.j.k.l
 do
 echo "Blocco IP $ip"
 iptables -I INPUT 1 --source $ip -j DROP
 done
 
 scrivi questo in un file e rendilo eseguibile.

h8er · Messaggio da **h8er** » dom 14 nov 2004, 20:03

ma lol ho messo la blocklist corrente di Bluetack con linblock ed ho ottenuto un calo delle prestazioni terrificanti (sono 1,3 mb di file di testo pieno di range ed indirizzi da bloccare) ho paura che in qualsiasi modo io metta sta blocklist le prestazioni caleranno paurosamente, strano dato che lavora a livello kernel, (per chi conosce Protowall per Windows sa cosa intendo) forse è un conflitto con la configurazione di guarddog a questo punto proverò a riscrivere tutto a mano ovviamente se i cali di prestazione continuano addio blocklist :-[ qualcuno di voi utilizza una blocklist corposa come quella di bluetack senza avere problemi di prestazione ? tanto per capire

Pierluigi · Messaggio da **Pierluigi** » dom 14 nov 2004, 20:54

<A HREF="http://community.smoothwall.org/forum/v ... e6b493c4a1" TARGET="_blank">blocker_ip</A>
 
 questo è un modulo da caricare nel kernel, lo sto usando con una lista di quasi 2 MB di ip, e non ci sono cali di prestazione. è anche molto veloce a caricare la lista, per lo meno rispetto a peerguardian e linblock.
 l´ultima versione di blocker_ip che ho trovato è la 1.1. nel tarball trovi sia il modulo guà compilato che il sorgente.
 edita blocker_ip.c alla riga 43, e sostituisci a eth1 il nome della tua interfaccia (io ho messo ppp0); alla riga dopo imposta a 0 il filter_internal, in modo da disabilitare il controllo del traffico nella tua rete locale.
 Alla riga 91,
 <pre>
 if ( ((unsigned char *)&sock_buff->nh.iph->saddr)[0] == 192 &&
 ((unsigned char *)&sock_buff->nh.iph->saddr)[1] == 168 &&
 ((unsigned char *)&sock_buff->nh.iph->daddr)[0] == 192 &&
 ((unsigned char *)&sock_buff->nh.iph->daddr)[1] == 168 )
 </pre>
 è specificato il range della rete locale, nel caso fosse diverso da quello già impostato (192.168.x.x), basta sostituire i valori di conseguenza.
 Ad esempio per impostare il range 168.0.x.x :
 <pre>
 if ( ((unsigned char *)&sock_buff->nh.iph->saddr)[0] == 168 &&
 ((unsigned char *)&sock_buff->nh.iph->saddr)[1] == 0 &&
 ((unsigned char *)&sock_buff->nh.iph->daddr)[0] == 168 &&
 ((unsigned char *)&sock_buff->nh.iph->daddr)[1] == 0 )
 </pre>
 
 Rimuovi il modulo già compilato (blocker_ip.o) e compila il tuo modulo con ´make´.
 Procurati una lista aggiornata di ip da bloccare nel formato solito (ad esempio di peerguardian), e copiala in ´/etc/guarding.p2p´
 
 Poi è sufficiente caricare il modulo con ´insmod blocker_ip.o´
 Dopo il caricamento (anche qualche minuto se la lista è lunga e la cpu lenta), il filtro sarà attivo, e il log lo leggi da ´dmesg´.
 Con ´lsmod´ vedi se il modulo è caricato, mentre con ´rmmod blocker_ip´ lo disattivi.
 
 Buon lavoro!

Messaggio da **useless** » dom 14 nov 2004, 23:18

mi spiegate l´utilità di bloccare un così grande numero di ip e dove prendete queste liste? mi interessa...
 
 comunque che lavori a livello kernel vuol dire poco se deve fare una marea di confronti prima di decidere se accettare o meno un pacchetto. è una cosa che se devi fare la devi fare su un pc che fa SOLO da gateway o poco +.
 
 quanto al blocker ip evidentemente chi l´ha fatto si è dimenticato che esiste il #define... non so se sia + veloce di iptables comunque.

h8er · Messaggio da **h8er** » lun 15 nov 2004, 0:46

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>Quote:<HR></TD></TR><TR><TD><BLOCKQUOTE>
 14-11-2004 alle ore 20:54, Pierluigi :
 <A HREF="http://community.smoothwall.org/forum/v ... e6b493c4a1" TARGET="_blank">blocker_ip</A>
 
 questo è un modulo da caricare nel kernel, lo sto usando con una lista di quasi 2 MB di ip, e non ci sono cali di prestazione. è anche molto veloce a caricare la lista, per lo meno rispetto a peerguardian e linblock.
 l´ultima versione di blocker_ip che ho trovato è la 1.1. nel tarball trovi sia il modulo guà compilato che il sorgente.
 edita blocker_ip.c alla riga 43, e sostituisci a eth1 il nome della tua interfaccia (io ho messo ppp0); alla riga dopo imposta a 0 il filter_internal, in modo da disabilitare il controllo del traffico nella tua rete locale.
 Alla riga 91,
 <pre>
 if ( ((unsigned char *)&sock_buff->nh.iph->saddr)[0] == 192 &&
 ((unsigned char *)&sock_buff->nh.iph->saddr)[1] == 168 &&
 ((unsigned char *)&sock_buff->nh.iph->daddr)[0] == 192 &&
 ((unsigned char *)&sock_buff->nh.iph->daddr)[1] == 168 )
 </pre>
 è specificato il range della rete locale, nel caso fosse diverso da quello già impostato (192.168.x.x), basta sostituire i valori di conseguenza.
 Ad esempio per impostare il range 168.0.x.x :
 <pre>
 if ( ((unsigned char *)&sock_buff->nh.iph->saddr)[0] == 168 &&
 ((unsigned char *)&sock_buff->nh.iph->saddr)[1] == 0 &&
 ((unsigned char *)&sock_buff->nh.iph->daddr)[0] == 168 &&
 ((unsigned char *)&sock_buff->nh.iph->daddr)[1] == 0 )
 </pre>
 
 Rimuovi il modulo già compilato (blocker_ip.o) e compila il tuo modulo con ´make´.
 Procurati una lista aggiornata di ip da bloccare nel formato solito (ad esempio di peerguardian), e copiala in ´/etc/guarding.p2p´
 
 Poi è sufficiente caricare il modulo con ´insmod blocker_ip.o´
 Dopo il caricamento (anche qualche minuto se la lista è lunga e la cpu lenta), il filtro sarà attivo, e il log lo leggi da ´dmesg´.
 Con ´lsmod´ vedi se il modulo è caricato, mentre con ´rmmod blocker_ip´ lo disattivi.
 
 Buon lavoro!
 
 </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE>
 
 grazie mille Pierluigi per la dritta appena posso mi metto subito al lavoro (per chi fosse interessato i link diretti non vanno scaricatelo con un download manager e mettete come referrer http://www.angelfire.com) in ogni caso sul forum parlano di questo blocker ip abbinato a SmoothWall mi confermi che funziona anche senza ? esiste un sito ufficiale di questo blocker ip ?
 
 x useless:
 
 esistono delle liste di ip considerati danger che sono in sostanza gli ip di enti pubblici, polizia, major discografiche ecc.. che non aspettano altro di entrare nei sistemi filesharing per poi denunciare chi condivide con questo sistema, bloccare questi ip è l´unica difesa seppur minima che si ha... purtroppo io vengo dai sistemi windows e la situazione è più semplice, ci sono programmi come blocklist manager e protowall che permettono di scaricare liste aggiornate di ip e proteggersi in modo abbastanza facile, Protowall è un driver altamente ottimizzato a livello di codice nel confronto di ip (supporta fino a 4 miliardi di ip in una lista) che lavora a livello kernel e filtra tutti i pacchetti che entrano ed escono da una scheda di rete, è velocissimo e non intacca le prestazioni al massimo consuma 10 mb di memoria e il tempo della cpu è irrisorio, non voglio togliere nulla a iptables, devo ancora testarlo a fondo ma il rallentamento che ho avuto con la stessa lista non si ha in windows con protowall nemmeno in situazioni di traffico intensissimo (penso di aver detto tutto) ma credo sia plausibile dato che iptables non nasce per questo scopo... putroppo posso solo indicarti il sito di riferimento (per windows)..
 
 http://www.bluetack.co.uk/index.php [ Questo Messaggio è stato Modificato da: h8er il 15-11-2004 01:19 ]

Messaggio da **useless** » lun 15 nov 2004, 11:33

la cosa mi lascia un po´ perplesso. innanzitutto xké mi pare una cosa un po´ maniacale, e poi abbastanza inutile. credo che la GDF o similia possa ottenere un nuovo IP assente in tutte le liste in 4 e 4 = 8, vanificando così ogni tuo eventuale tentativo di difesa in questo modo.
 
 quanto a iptables, non lo voglio difendere per forza, ma è un signor firewall, tanto che è stato implementato in hardware in alcuni router (con iniziale violazoine della GPL, ma questa è un´altra storia...), e quindi immagino sia abbastanza ottimizzato. la ricerca dell´ip di ogni pacchetto entrante/uscente in una lista di 4 miliardi di IP non è una cosa veloce in ogni caso, nemmeno se la lista è ordinata o gestita in qualche modo particolarmente furbo. comunque questa cosa mi incuriosisce. se mi mandi la lista faccio qualche prova anch´io! <a href="mailto:useless@slacky.it[addsig" target="_new">useless@slacky.it[addsig</a>]

h8er · Messaggio da **h8er** » lun 15 nov 2004, 15:18

hai nuove email