[Andrei]

Есть достаточно экзотичный кусок сети, где блокировать клиентов со статическими белыми ip получается только дропая shorewall-ом пакеты, идущие с блокируемых ip.

shorewall стоит на дебиане, который этот сегмент и роутит. Для блокировки/разблокировки в каталоге shorewall-а в файлик blacklist скриптом добавляю/удаляю строки вида

DROP            net:212.ххх.ххх.37      all

c последующим shorewall reload (или restart)

Но почему-то блокируемые адреса даже не видно при проверке

iptables -n -L

И трафик с блокируемых адресов не дропается.

 

В shorewall.conf опция

BLACKLISTNEWONLY=Yes

 

Какие есть нюансы? Куда еще копнуть?

[pppoetest]

Не проще ли завести ipset c одним правилом в iptables?

[Andrei]

Не проще ли завести ipset c одним правилом в iptables?

Предлагается завести список хостов, который будет правиться скриптом, и к нему примерять дропающее rule?

Если так, то вроде те же яйца, только вид сбоку.

 

Или вот это - http://linuxru.org/linux/324

Как оно будет сосуществовать с shorewall? Не передерутся? :)

 

Если я ее понял идею, сорри. Поясните.

[pppoetest]

Шорвал не нужен. Вместе не уживутся, функционал идентичен. За исключение, что при использовании ipset будет одна проверка каждого пакета, в отличие от линейного списка сгенеренного shorewall'ом. Одно правило в файер вида

iptables -I FORWARD -i eth0 -m set --match-set block_list src -j DROP

 

управление так:

ipset -A block_list 10.1.1.1 //запретить интернеты 10.1.1.1

ipset -D block_list 10.1.1.1 //разрешить интернеты 10.1.1.1

 

Если так, то вроде те же яйца, только вид сбоку.

Не совсем, линейный список - моветон.

[Andrei]

Shorewall стоит и используется уже лет 10 как, поэтому отказываться от него никто не будет.

Все решилось просто.

В blacklist ипы просто перечисляются

212.ххх.ххх.37
212.ххх.ххх.44
212.ххх.ххх.62

а не срабатывало, т.к. не добавили в zone указание на необходимость использования blacklist-а

#ZONE   TYPE            OPTIONS         IN                      OUT
#                                       OPTIONS                 OPTIONS
...
unet    ipv4            blacklist
...