msn Bot mach mich mit der Linux Firewall bekloppt

[Lenny28]

Habe die Linux Firewall im Webmin soweit eingerichtet, jetzt war ich dran die Roules für die Bots einzurichten damit diese nicht mehr ausgesperrt werden.

-A AcceptIP -p tcp -m tcp -s 65.55.109.228 --dport 80 -j ACCEPT

Das Problem ist dass der msn Bot immer wieder neue erzeugt die versuchen auf den Server zurück zugreifen.

Ich habe schon eine Riesen Liste der IP die ausgesperrt wurden, aber das ist irgendwie eine Sackgasse. Der Bot versucht es einigemale und versucht es dann mit neue IPs.

[187894.429223] IN=eth0 OUT= MAC=00:21:85:1b:7d:f4:00:0c:db:51:45:00:08:00 SRC=65.55.110.19 DST=93.186.***.* LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=46908 DF PROTO=TCP SPT=64703 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
[187912.523321] IN=eth0 OUT= MAC=00:21:85:1b:7d:f4:00:0c:db:51:45:00:08:00 SRC=65.55.110.244 DST=93.186.***.* LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=21738 DF PROTO=TCP SPT=63078 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
[187916.126155] IN=eth0 OUT= MAC=00:21:85:1b:7d:f4:00:0c:db:51:45:00:08:00 SRC=65.55.110.244 DST=93.186.***.* LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=22189 DF PROTO=TCP SPT=63078 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
[187923.230774] IN=eth0 OUT= MAC=00:21:85:1b:7d:f4:00:0c:db:51:45:00:08:00 SRC=65.55.110.244 DST=93.186.***.* LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=22469 DF PROTO=TCP SPT=63078 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
[187928.369994] IN=eth0 OUT= MAC=00:21:85:1b:7d:f4:00:0c:db:51:45:00:08:00 SRC=65.55.110.19 DST=93.186.***.* LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=50085 DF PROTO=TCP SPT=63327 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0
[187932.000957] IN=eth0 OUT= MAC=00:21:85:1b:7d:f4:00:0c:db:51:45:00:08:00 SRC=65.55.110.19 DST=93.186.***.* LEN=48 TOS=0x00 PREC=0x00 TTL=117 ID=50344 DF PROTO=TCP SPT=63327 DPT=80 WINDOW=65535 RES=0x00 SYN URGP=0

In meinem Forum habe ich auch eine Security Software, wo man durch einen Joker z.B. * oder ? die Browser Kennung zum sperren oder zum freigeben setzen kann.

Kann man in den Roules so was ähnliches einrichten oder verwenden?

Was mir hierbei auffällt ist der Eintrag z.B. "LEN=48", dieser ist für jede Browserkennung anders. Kann man hiermit was machen? Bei mod_security kann man mit so einen ähnlichen Eintrag die Browserkennung freigeben.

Danke.

Gruß Gero

 

[Roger Wilco]

Netfilter weiß nichts von User Agents oder HTTP-Verbindungen. Dazu bräuchtest du einen Layer7-Filter (den es zugegebenermaßen auch für Netfilter gibt). Ich denke in deinem Fall wäre ein Whitelist-Ansatz sinnvoller. Alles freigeben und nur blockieren, was explizit nicht erwünscht ist.

Man kann mit Netfilter übrigens auch ganze IP-Bereiche (bzw. Subnetze) verarbeiten. Vielleicht hilft dir ja die Liste unter http://chceme.info/ips/ etwas weiter...