iptables ip-adressen von bis sperren

[The Hit-Man]

ich habe unter netstat -p gesehen, das mein midori zig verbindungen nach den ips von 1.2.3.1-1.2.3.10 aufbaut. diese wollte ich zu testzwecken mal sperren und habe es so versucht:

Code: Alles auswählen

iptables -I INPUT -m iprange --src-range 1.2.3.1-1.2.3.255 -j DROP
iptables -I OUTPUT -m iprange --src-range 1.2.3.1-1.2.3.255 -j DROP

allerdings sehe ich diese verbindungen dann immer noch unter netstat. wie bekomme ich diese denn raus gefiltert?

[debnuxer]

Iptables kann nur verhindern das die Verbindungen zu Stande kommen.

Damit Netstat das nicht mehr anzeigt muss man das dem Midori abgewöhnen.

Weshalb der das macht ist aber mir ein Rätsel, mein Midori hat diese IPs in letzter Zeit nicht besucht.

Vielleicht ist eine Erweiterungen oder eine Userscript schuld, mit etwas herumprobieren lässt sich das bestimmt rausfinden.

[The Hit-Man]

hmmmm, kann ich denn feststellen, ob die pakete wirklich gedropt werden?

Weshalb der das macht ist aber mir ein Rätsel, mein Midori hat diese IPs in letzter Zeit nicht besucht.

ist mir auch neu. allerdings surfe ich auch über umts im moment und nen whois ergab jetzt nicht weiter schlimmes, was ich auf den ersten blick so laß.

Code: Alles auswählen

% [whois.apnic.net node-6]
% Whois data copyright terms    http://www.apnic.net/db/dbcopyright.html

inetnum:        1.2.3.0 - 1.2.3.255
netname:        Debogon-prefix
descr:          APNIC Debogon Project
descr:          APNIC Pty Ltd
country:        AU
admin-c:        AR302-AP
tech-c:         AR302-AP
mnt-by:         APNIC-HM
mnt-routes:     MAINT-AU-APNIC-GM85-AP
mnt-irt:        IRT-APNICRANDNET-AU
status:         ASSIGNED PORTABLE
changed:        hm-changed@apnic.net 20110922
source:         APNIC

role:           APNIC RESEARCH
address:        PO Box 3646
address:        South Brisbane, QLD 4101
address:        Australia
country:        AU
phone:          +61-7-3858-3188
fax-no:         +61-7-3858-3199
e-mail:         research@apnic.net
remarks:        ++++++++++++++++++
remarks:        + Address blocks listed with this contact
remarks:        + are withheld from general use and are
remarks:        + only routed briefly for passive testing.
remarks:        +
remarks:        + If you are receiving unwanted traffic
remarks:        + it is almost certainly spoofed source
remarks:        + or hijacked address usage.
remarks:        +
remarks:        + http://en.wikipedia.org/wiki/IP_address_spoofing
remarks:        + http://en.wikipedia.org/wiki/Regional_internet_registry
remarks:        +
remarks:        ++++++++++++++++++
nic-hdl:        AR302-AP
tech-c:         AH256-AP
admin-c:        AH256-AP
mnt-by:         MAINT-APNIC-AP
changed:        hm-changed@apnic.net 20110822
source:         APNIC

aber viel damit anfangen kann ich jetzt auch nicht.

[The Hit-Man]

es scheint wohl zu gehen, da midori jetzt nicht mehr alle bildchen anzeigt auf webseiten. aber wofür ist diese adresse denn gut?

[peschmae]

Ich denke mal, in der OUTPUT-chain solltest du auf "--dest-range" matchen, und nicht auf "--src-range", schliesslich willst du ja alle Pakete erwischen, die an diese IPs rausgehen sollen...

MfG Peschmä

[debnuxer]

In der Output Chain würde ich auch besser REJECT setzen damit die lokale Anwendung direkt eine Fehlermeldung erhält und keine Timeout Wartezeiten entsteht.

Überprüfen kann man das ganze z.B. mit Etherape (Netzwerkmonitor).

[The Hit-Man]

erst mal danke an alle.
also mein code von ganz oben scheint aber zu gehen. denn es fehlen unter midori dann einige bilchen, die er nicht laden kann. wenn ich meine regel wieder raus nehme ist alles wieder beim alten.
nur dennoch würde mich interessieren warum daten über die 1.2.3.x IP gehen.

[peschmae]

So wie ich das sehe, verhindert die INPUT-Regel dass du die Antwort von den entsprechenden Servern zu hören bekommst, daher die fehlenden Bildchen.

Das heisst noch nicht, dass die OUTPUT-Regel auch funktioniert und tatsächlich nichts rausgeht. Also am besten beides getrennt testen - eine einzelne von beiden Regeln sollte ja schon ausreichen, um solche Verbindungen zu unterdrücken (entweder weil nichts rausgeht, oder weil du die Antwort unterdrückst). Im Prinzip ist aber eine funktionierende OUTPUT Regel das was du willst, die Input-Regel kannst du dir wohl sparen...

MfG Peschmä