UFW - blokace všech IP kromě ČR a SR

[ar_649]

Mám svůj web (apache2, https) na veřejné IP a když zadám:

Kód: [Vybrat]

tcptrack -i enp4s0 tak vidím neustálé loupání perníčku. A jelikož jej hodlám používat jen pro místní záležitosti, tak ze zahraničí není potřeba žádný přístup.

Jakým způsobem se to řeší? Na https://www.ipdeny.com/ipblocks/ jsou seznamy IP adres, ale nevím, jak je zakomponovat do systému, navíc občas je potřeba tyto sobory občerstvit.
Zatím používám UFW, pár jednodušších pravidel:

Kód: [Vybrat]

To                         Action      From
--                         ------      ----
22/tcp                     ALLOW IN    Anywhere
443/tcp                    ALLOW IN    Anywhere                   # accept HTTPS connections
445/tcp                    ALLOW IN    192.168.0.0/24             # samba
Anywhere                   REJECT IN   10.0.0.0/24
Nějaké nápady?

[shox]

Hledej inspiraci v "geoip firewall linux", ale s nějakou databází, která se aktualizuje.
Tím že došly IPv4, tak se s nimi kšeftuje a letos jsem zažil, že známý na chalupě dostal veřejnou IP kvůli kamerovému systému a ten blok adres býval ještě nedávno registrovaný v Rusku. Má s tím neustále problémy, některé weby ho blokují, z archívu ČT si nic nepřehraje atd., přitom v RIPE už je ten blok přepsán na českého ISP.
Mám několik domén (žádné komerční) asi 12 let na veřejné IP a tohle bych nedělal. To že boti něco zkouší, mě až tak netrápí, na všechny přihlášení mám "3x a dost" a dotyčný dostane ban na 24 hodin.

Edit: Ve wordpressu mám k wp-login.php povolený přístup je z některých IP adres v .htaccess.

[Abby]

Mě se stalo, že mě blokoval e-shop že prý jsem v Británii a podle geoip je to přidělené pro ČR, takže asi nic neobvyklého. S e-shopem jsem to řešila dohromady asi dvě hodiny a nakonec jsem nakoupila jinde i přesto, že to vyřešili, takže bitý byl jen e-shop.

Mimochodem bydlím v Praze, takže to není záležitost jen vesnic. Za mě je lepší neblokovat, ale spíš si to zabezpečit jak píše shox.

[jmp]

njn, imho ten bordel vzniká tím, že se začalo kšeftovat s IPv4 adresama...