Закрытие доступа к торентам

08.07.2014 08:48 #386242

При включении форвардинга на suse 13.1 включается большинство портов для пользователей internet и теперь они безнаказанно пользуются торент-клиентами и играют в игрушки. Как можно закрыть ненужные порты?
создал правила iptables проброса почтовых портов для настройки получения почты через оутлук.

text

#! /bin/sh
#
iptables -F;
iptables -t nat -F;
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE;
iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE;
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128;
iptables -t nat -A PREROUTING -i enp3s0 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128;
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT;
iptables -A FORWARD -o eth0 -p tcp -m state --state NEW -m multiport --dport 110,25,465,995 -j ACCEPT;
iptables -A FORWARD -o enp2s0 -p tcp -m state --state NEW -m multiport --dport 110,25,465,995 -j ACCEPT;
iptables -A FORWARD -m conntrack --ctstate DNAT -j ACCEPT;

Ниже пытаюсь закрыть UDP порты

text

#iptables -N LOGDROP > /dev/null 2> /dev/null
iptables -F LOGDROP
iptables -A LOGDROP -j LOG --log-prefix "LOGDROP"
iptables -A LOGDROP -j DROP
#Torrent
iptables -A FORWARD -m string --algo bm --string "BitTorrent" -j LOGDROP
iptables -A FORWARD -m string --algo bm --string "BitTorrent protocol" -j LOGDROP
iptables -A FORWARD -m string --algo bm --string "peer_id=" -j LOGDROP
iptables -A FORWARD -m string --algo bm --string ".torrent" -j LOGDROP
iptables -A FORWARD -m string --algo bm --string ".torrents" -j LOGDROP
iptables -A FORWARD -m string --algo bm --string "announce.php?passkey=" -j LOGDROP
iptables -A FORWARD -m string --algo bm --string "torrent" -j LOGDROP
iptables -A FORWARD -m string --algo bm --string "announce" -j LOGDROP
iptables -A FORWARD -m string --algo bm --string "info_hash" -j LOGDROP
#DHT keyword
iptables -A FORWARD -m string --string "get_peers" --algo bm -j LOGDROP
iptables -A FORWARD -m string --string "announce_peer" --algo bm -j LOGDROP
iptables -A FORWARD -m string --string "find_node" --algo bm -j LOGDROP

Все работает без видемых изменений

Если код 2 добавлять отдельно то падает DNS а закачка торентов продолжается.

Как можно закрыть доступ для скачки торентов?????

08.07.2014 09:34 · отредактировано #386244

text


iptables -F;
iptables -t nat -F;
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i enp3s0 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
iptables -A FORWARD -o eth0 -p tcp -m state --state NEW -m multiport --dport 110,25,465,995 -j ACCEPT
iptables -A FORWARD -o enp2s0 -p tcp -m state --state NEW -m multiport --dport 110,25,465,995 -j ACCEPT
iptables -A FORWARD -j DROP

Если нужно открыть другие порты для работы каких-либо сервисов и протоколов, то добавляйте правило на ACCEPT выше правила DROP, например нужно добавить правило для DNS (53 порт).

08.07.2014 11:39 · отредактировано #386261

maxbazer написал:
text
iptables -F;
iptables -t nat -F;
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i enp3s0 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
iptables -A FORWARD -o eth0 -p tcp -m state --state NEW -m multiport --dport 110,25,465,995 -j ACCEPT
iptables -A FORWARD -o enp2s0 -p tcp -m state --state NEW -m multiport --dport 110,25,465,995 -j ACCEPT
iptables -A FORWARD -j DROP
Если нужно открыть другие порты для работы каких-либо сервисов и протоколов, то добавляйте правило на ACCEPT выше правила DROP, например нужно добавить правило для DNS (53 порт).

Супер закрылось Применив именно Ваш код но и закрылись почтовые порты :(
Пытаюсь добавить их :
iptables -A FORWARD -p tcp --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp --dport 110 -j ACCEPT
не помогает

08.07.2014 12:20 · отредактировано #386263

"kosikdr" написал:

text


iptables -A FORWARD -o eth0 -p tcp -m state --state NEW -m multiport --dport 110,25,465,995 -j ACCEPT
iptables -A FORWARD -o enp2s0 -p tcp -m state --state NEW -m multiport --dport 110,25,465,995 -j ACCEPT

Вместо этого попробуйте:

text


iptables -A FORWARD -p tcp -m multiport --dport 110,25,465,995,443,53 -j ACCEPT 
iptables -A FORWARD -p tcp -m multiport --sport 110,25,465,995,443,53 -j ACCEPT

09.07.2014 08:55 · отредактировано #386296

text

iptables -F;
iptables -t nat -F;
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i enp3s0 -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
iptables -A FORWARD -p tcp -m multiport --dport 110,25,465,995,443,53 -j ACCEPT 
iptables -A FORWARD -p tcp -m multiport --sport 110,25,465,995,443,53 -j ACCEPT
iptables -A FORWARD -p udp -m multiport --dport 110,25,465,995,443,53 -j ACCEPT 
iptables -A FORWARD -p udp -m multiport --sport 110,25,465,995,443,53 -j ACCEPT
iptables -A FORWARD -j DROP

Спасибо, заработало!!!! Добавил UDP порты а то не определял smtp почты при отправки.