Iptables: запретить ip, запретить порты, вести лог

Доброе время суток уважаемые жители форума.
Ситуация такая.

Сразу скажу, что я не системный администратор, на данный момент временно выполняю его работу пока он в отъезде. Столкнулся с таким вот вопросом.

Приехали спецслужбы, с требованиями типа "вынь да полож" информацию. Что собственно требуется.
Запретить на сервере определенные ip адреса и порты, при этом необходимо кроме запрета еще и логи обращений писать. Т.е. если обратился клиент к определенному ip и порту в мир, то 1. запретить, 2. записать в логи ip и MAC адреса тех кто обращался.

Вот нашел как это сделать.
iptables -A OUTPUT -p tcp -d 192.168.1.2 --dport 5050 -j DROP
Вроде работает, но опять же повторюсь, желательно не запрещать, а разрешать(на живца наверное ловят :D ), но при этом писать логи кто обращался.

Вопрос очень срочный, времени на изучение iptables просто нет.
Помогите пожалуйста. Заранее благодарен.

Ну опиши точнее раз времени нет!
1) какие порты открывать.
2) обращение на какие адреса и порты логировать.
3 Советую traffpo (не реклама) просто для служб лучше отчитываться.

Что за такие службы oO ?

Kettler написал:

Ну опиши точнее раз времени нет!
1) какие порты открывать.
2) обращение на какие адреса и порты логировать.
3 Советую traffpo (не реклама) просто для служб лучше отчитываться.

Что за такие службы oO ?

1. Это как в том фильме "Это секретная информация"(с). Подписал бумагу о неразглашении подобной информации. так. что извините ip и порты сказать не могу.
2. см. п.1

3. traffpo, да возможно классная штука, но на это уж точно времени нет.


Задача простая.
Клиент допустим, обращается к ип адресу и порту, ну например 192.168.1.20:123
На сервер iptables'ом это дело все фиксануть, обратился клиент оп..., бэд мэн детектед.
При этом желательно(но не обязательно) не запрещать ему доступ на ип и порт.
Но если уж так и случилось что запретили, то полюбому это дело зафиксировать в лог.

вот нашел временное решение
iptables -A OUTPUT -p tcp -d 192.168.1.20 –dport 123 -j DROP // заблокировал ип и порт
iptables -A OUTPUT -j LOG --log-level 4 // пишем логи
iptables -A OUTPUT -j LOG --log-prefix '** BAD MAN DETECTED **'

но, хотелось бы все таки не запрещать :rolleyes: , а просто DETECTED smile

Так вы же сами запрещаете wink
А так не пробовали:

iptables -A OUTPUT -p tcp -d 192.168.1.20 –dport 123 -j LOG --log-level 4 

Или прокси-сервер какой-нибудь с ведением логов поставьте, например.
P.S. Я тоже ни разу не системный администратор, относитесь к моим советам с оглядкой oO

Как быстрое и неправильное решение, можно полностью логировать с помощью iptables весь исходящий траффик, а потом уж используя grep, awk, sed выдавать любую информацию.

Lupo Alberto написал:

Как быстрое и неправильное решение, можно полностью логировать с помощью iptables весь исходящий траффик, а потом уж используя grep, awk, sed выдавать любую информацию.

вот это интересная идея, но к сожалению я чувствую что с такими темпами просто положу тачку.