Ubuntu-fr

bagou450

Problème avec iptables

Bonjour,

j'aii bloquer des ips avec iptables avec la commande
-A INPUT -s (ip) -j DROP
mais après ceci je me rend compte que l ip bloquer arrive encore a envoyer des requêtes udp au serveur

Dernière modification par bruno (Le 17/04/2021, à 07:22)

---

Yotapaki

iznobe

Re : Problème avec iptables

Bonjour , et elle ne sont pas droppées ?

precise dans ta regle dans ce cas , les protocoles que tu veux qu 'elle gere , a verifier peut etre en ajoutant l' option :

 -p tcp,udp

Dernière modification par iznobe (Le 16/04/2021, à 15:21)

---

retour COMPLET et utilisable de commande  |  script montage partition ext4

MSI Z490A-pro , i7 10700 , 32 GB RAM .

fredr

Re : Problème avec iptables

Hello,

Tu es sur de tes autres règles? avec -A tu ajoutes en dernier et si une règle contradictoire se trouve avant, elle prendra la "main".

As tu essayé avec un -I qui insère la règle en premier?

Fred

---

Ubuntu 24.04 et Manjaro, les deux avec E27
L'optimiste pense que nous vivons dans le meilleur des mondes. Et le pessimiste craint que ce ne soit exact.

bagou450

Re : Problème avec iptables

Je vais essayer avec un -p.

Concernant la priorité les ip que je drop sont belle et bien avant les autres regles

Edit : avec ceci dans iptables "-A INPUT -s 185.88.179.197/32 -p udp -j DROP" (cette ligne vient d un fichier donnée par iptables-save)

et après avoir appliquer les règles (iptables-apply)

https://i.ibb.co/bWx5D55/Capture.png

Il y a encore des requêtes venant ce cette ip

_{Modération : merci d'utiliser des images de petite taille (300x300) ou des miniatures pointant sur ces images.}

Dernière modification par cqfd93 (Le 16/04/2021, à 21:04)

---

Yotapaki

jplemoine

Re : Problème avec iptables

Je vais peut-être dire des bêtises mais la règle input, ce n'est que pour les requêtes entrantes.
Il faudrait peut-être ajouter une règle OUTPUT et/ou FORWARD. Ceci voudrait dire que la requête est une réponse à une précédente requête sortante.
Et mettre une règle de type LOG pour essayer de savoir quel processus émet éventuellement vers cette adresse.

---

Ce compte ne servira plus : vous pouvez le supprimer si le coeur vous en dit...
Laissé par l'auteur pour historique.

bagou450

Re : Problème avec iptables

je vais test avec output et forward en plus

pour le processus c est simple c est un ddos.

meme probleme avec du forward du input et du output

Vous voulez le fichier contenant mes regles iptables?

Dernière modification par bagou450 (Le 16/04/2021, à 20:51)

---

Yotapaki

fredr

Re : Problème avec iptables

Question bête ta règle par défaut est bien en drop?
iptables -F INPUT
iptables -P INPUT DROP

Sinon ta ligne a l'air bonne mais le /32 me semble inutile.

Edit: oui je veux bien le fichier des règles

Dernière modification par fredr (Le 16/04/2021, à 21:23)

---

Ubuntu 24.04 et Manjaro, les deux avec E27
L'optimiste pense que nous vivons dans le meilleur des mondes. Et le pessimiste craint que ce ne soit exact.

bagou450

Re : Problème avec iptables

je vous envoie ca dans 2min

Pour le /32 quand je fait la commande il n'y ai pas mais iptables le mets automatiquement dans son fichier de regle

edit : je vous previiens par contre il y a BEAUCOUP de regles

https://plik.root.gg/file/7BGRiTztKMrPk … S/test.txt

Dernière modification par bagou450 (Le 16/04/2021, à 21:32)

---

Yotapaki

fredr

Re : Problème avec iptables

Tu sais donner le retour de iptables -L?

---

Ubuntu 24.04 et Manjaro, les deux avec E27
L'optimiste pense que nous vivons dans le meilleur des mondes. Et le pessimiste craint que ce ne soit exact.

bagou450

Re : Problème avec iptables

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
DROP       all  --  node-x1.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-24i.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-50w.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-4y1.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-8fl.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-enr.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-fwa.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-gcz.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-gh7.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-h0e.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-hei.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-j2y.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-lhw.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-p12.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-p4v.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-20g.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-20h.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i9y.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-iau.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i6w.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i70.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i76.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i79.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-isd.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  1.1.8.8              anywhere
DROP       all  --  node-2nq.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-2ql.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-2qm.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-2mg.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-7xt.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-al4.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-atk.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-khk.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  1-160-15-80.dynamic-ip.hinet.net  anywhere
DROP       all  --  1-164-238-215.dynamic-ip.hinet.net  anywhere
DROP       all  --  1-168-57-35.dynamic-ip.hinet.net  anywhere
DROP       all  --  1.179.148.61         anywhere
DROP       all  --  1.179.158.173        anywhere
DROP       all  --  1.179.175.130        anywhere
DROP       all  --  1.179.209.157        anywhere
DROP       all  --  1.179.209.81         anywhere
DROP       all  --  1.186.249.41.dvois.com  anywhere
DROP       all  --  node-6lk.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-dqt.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-e5o.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-ffr.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-gpl.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-h7f.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-ipm.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-mxr.pool-1-2.dynamic.totinternet.nChain INPUT (policy ACCEPT)
target     prot opt source               destination
DROP       all  --  node-x1.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-24i.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-50w.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-4y1.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-8fl.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-enr.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-fwa.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-gcz.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-gh7.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-h0e.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-hei.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-j2y.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-lhw.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-p12.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-p4v.pool-1-0.dynamic.totinternet.net  anywhere
DROP       all  --  node-20g.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-20h.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i9y.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-iau.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i6w.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i70.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i76.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-i79.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  node-isd.pool-1-1.dynamic.totinternet.net  anywhere
DROP       all  --  1.1.8.8              anywhere
DROP       all  --  node-2nq.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-2ql.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-2qm.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-2mg.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-7xt.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-al4.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-atk.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  node-khk.pool-1-10.dynamic.totinternet.net  anywhere
DROP       all  --  1-160-15-80.dynamic-ip.hinet.net  anywhere
DROP       all  --  1-164-238-215.dynamic-ip.hinet.net  anywhere
DROP       all  --  1-168-57-35.dynamic-ip.hinet.net  anywhere
DROP       all  --  1.179.148.61         anywhere
DROP       all  --  1.179.158.173        anywhere
DROP       all  --  1.179.175.130        anywhere
DROP       all  --  1.179.209.157        anywhere
DROP       all  --  1.179.209.81         anywhere
DROP       all  --  1.186.249.41.dvois.com  anywhere
DROP       all  --  node-6lk.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-dqt.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-e5o.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-ffr.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-gpl.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-h7f.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-ipm.pool-1-2.dynamic.totinternet.net  anywhere
DROP       all  --  node-mxr.pool-1-2.dynamic.totinternet.n

et plus rien apres comme si il plantais

Ediit : A si il avance mais c est tres lent xd

Dernière modification par bagou450 (Le 16/04/2021, à 21:57)

---

Yotapaki

jplemoine

Re : Problème avec iptables

C'est quoi l’intérêt de mettre toutes ces lignes de DROP ?

---

Ce compte ne servira plus : vous pouvez le supprimer si le coeur vous en dit...
Laissé par l'auteur pour historique.

iznobe

Re : Problème avec iptables

Bonjour , l' approche n' est peut etre pas la bonne tout simplement .

Pour la chaine INPUT il faut mettre la police par defaut sur DROP , a faire a la fin surtout si vous passer par SSH qu il faut autoriser avant .
puis on ne gere l ' entrée que si on a besoin de laisser passer un service accessible de l' exterieur comme un site internet par exemple et surtout le SSH.
on ajoute une regle pour les conexions deja etablies et puis voilà .

Dernière modification par iznobe (Le 17/04/2021, à 07:27)

---

retour COMPLET et utilisable de commande  |  script montage partition ext4

MSI Z490A-pro , i7 10700 , 32 GB RAM .

bruno

Re : Problème avec iptables

Modération : message égaré rapatrié, merci xubu1957
Titre corrigé et sujet déplacé dans la section « Sécurité » qui me semble plus appropriée.

fredr

Re : Problème avec iptables

Hello,

En effet; l'erreur est là:
Chain INPUT (policy ACCEPT)
Par défaut tu acceptes tout, il faut commencer ton script par:

iptables -F INPUT
iptables -P INPUT DROP

-F efface toutes les règles existantes et -P définit DROP par défaut.

Tu dois aussi mettre une règle apr défaut sur FORWARD et OUTPUT

Fred

---

Ubuntu 24.04 et Manjaro, les deux avec E27
L'optimiste pense que nous vivons dans le meilleur des mondes. Et le pessimiste craint que ce ne soit exact.

bagou450

Re : Problème avec iptables

Ok mais le problème dans ce cas c est que je doit autoriser les port un a un non?

hors j'ai besoin de beaucoup de port

---

Yotapaki

fredr

Re : Problème avec iptables

Bonjour , l' approche n' est peut etre pas la bonne tout simplement .

Pour la chaine INPUT il faut mettre la police par defaut sur DROP , a faire a la fin surtout si vous passer par SSH qu il faut autoriser avant .
puis on ne gere l ' entrée que si on a besoin de laisser passer un service accessible de l' exterieur comme un site internet par exemple et surtout le SSH.
on ajoute une regle pour les connexions deja etablies et puis voilà .

En effet, il est beaucoup plus logique de bloquer tout en entrée et de n'autoriser que ce qu'on veut.

Voici un script minimaliste, qui bloque tout en entrée et en forward et autorise tout en sortie. Avec un accès SSH quand même.

iptables -F INPUT
iptables -F OUTPUT
iptables -F FORWARD

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP

iptables -I INPUT -s 127.0.0.1 -j ACCEPT

iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -I INPUT -p TCP --dport 22 -m state --state NEW -j ACCEPT

Dernière modification par fredr (Le 17/04/2021, à 09:33)

---

Ubuntu 24.04 et Manjaro, les deux avec E27
L'optimiste pense que nous vivons dans le meilleur des mondes. Et le pessimiste craint que ce ne soit exact.

bagou450

Re : Problème avec iptables

Sauf que le problème c est que un ddos passe facilement meme avec ca
J'ai tenter de limiter le nombre de paquet udp a la seconde cela n'a pas marcher
et ducoup je me suis mis a bloquer les ips même si cela n est pas la meilleurs des solutions

---

Yotapaki

fredr

Re : Problème avec iptables

Refais les tests en changeant la policy par défaut; avec un input accept tout ce que tu n'as pas interdit est automatiquement autorisé, ce n'est pas une bonne approche.

---

Ubuntu 24.04 et Manjaro, les deux avec E27
L'optimiste pense que nous vivons dans le meilleur des mondes. Et le pessimiste craint que ce ne soit exact.

bagou450

Re : Problème avec iptables

Oui mais comme je l ai dit
Imaginons que j ouvre le port 443 ou un autre port et que un mec me ddos sur ce port et ba iptables ne me protégeras pas

---

Yotapaki

iznobe

Re : Problème avec iptables

Bonjour , tu n' as pas besoin d' ouvrir de port .

Seulement d ' autoriser les connexions related et establish .
la demande se ait par la vanne de sortie et le retour en entrée sera donc autorisé .

Quels services as tu besoin d' autoriser sur ta machine .

il y a des commandes qui permettent de faire plusieurs ports d' un coup si vraiment tu as d' inombrables services qui ont besoin d ' une demande externe que tu ne demandes pas en sortant de ta machine .

Par exemple si tu navigues sur internet tu n ' as pas besoin d' autoriser de port car tu demandes en sortant .
Si tu heberges un site internet , la demande vient de l' exterieur ( les clients qui veulent consulter ton site ) dans ce cas tu as besoin d ' ouvrir un port le 80 ou le 443 voire les 2 .

Dernière modification par iznobe (Le 17/04/2021, à 11:49)

---

retour COMPLET et utilisable de commande  |  script montage partition ext4

MSI Z490A-pro , i7 10700 , 32 GB RAM .

bruno

Re : Problème avec iptables

Bonjour,

Tu ne pourras pas te protéger d'une attaque DDOS avec des règles iptables quoiqu'en disent les nombreux tutos plus ou moins foireux sur le web. Tu peux limiter le DOS mais pas le DDOS.

un mec me ddos

Ce qui veut dire que le « mec » a à sa disposition un botnet avec des centaines, voire des milliers de machines, prête à envoyer des requêtes sur le port en question.

Si c'est un serveur dédié ou un VPS, tous les bons hébergeurs ont des mesures anti-DDOS sur leurs équipements réseau.
Si c'est une machine personnelle derrière une box c'est inutile de s'acharner.

Comme il a été indiqué par d'autres quand on veut configurer un pare-feu on commence par bloquer tout le trafic entrant (chaîne INPUT d'iptables). Tout autoriser et bloquer des IP ou plages d'IP une par une cela n'a pas de sens. Sauf si on utilise des scripts de banissement automatique comme fail2ban.

Pour le trafic sortant (chaîne OUTPUT), c'est suivant les besoins. On peut filtrer par exemple si la machine protège un réseau privé dans lequel on a une confiance limitée.

Pour la retransmission de paquets (chaîne FORWARD) on ne s'en occupe que si la machine est un routeur sinon la retransmission de paquets doit être déjà bloquée au niveau des paramètres du noyau. D'ailleurs avant de configurer le pare-feu on s'occupe d'abord des paramètres IP du noyau en plaçant les directives idoines sosu /etc/sysctl.d

jplemoine

Re : Problème avec iptables

Je crois que tu confonds : ça ne change rien aux problèmes des DDOS.
Dans un cas, tu interdis certaines IP puis autorises tout par défaut
Ce que l'on veut que tu testes :
Tu autorises ce que tu veux puis tu interdis tout par défaut.
Donc, une adresse inconnue sera interdite par défaut.

Ne pas oublier que s'il n'y a aucun processus qui écoute, le port est fermé par défaut.

---

Ce compte ne servira plus : vous pouvez le supprimer si le coeur vous en dit...
Laissé par l'auteur pour historique.

jplemoine

Re : Problème avec iptables

En aparté : selon le cas, il faut mettre en place une solution de type geoip.
Cela permet de bloquer les IP qui ne sont pas d'un pays donné (par exemple, non française).

---

Ce compte ne servira plus : vous pouvez le supprimer si le coeur vous en dit...
Laissé par l'auteur pour historique.

iznobe

Re : Problème avec iptables

Si vraiment tu subis des attaques DDOS , fail2ban peut etre interressant , il permet de limiter la casse .

---

retour COMPLET et utilisable de commande  |  script montage partition ext4

MSI Z490A-pro , i7 10700 , 32 GB RAM .

jplemoine

Re : Problème avec iptables

Sauf erreur de ma part, ça ne change rien : fail2ban va juste bloquer les communications pendant l'attaque (et donc, il y aura bien un "déni de service) mais suite à l'attaque :
- dans le cas "normal" : le service est tombé. Il faudra le relancer (la plupart du temps manuellement)
- fail2ban va débloquer les communications : le service reprend
Donc, même si fail2ban est une (très) bonne solution, cela n’empêchera pas l'attaque (mais est-ce possible ?) mais limitera ses conséquences.
Pour info : fail2ban va simplement créer / détruire des règles iptables en fonction de critères donnés dans les paramètres.

---

Ce compte ne servira plus : vous pouvez le supprimer si le coeur vous en dit...
Laissé par l'auteur pour historique.