Regra pra bloqueio de um IP

[Terry]

Galera.
Como eu montaria uma regra com iptables no meu firewall para bloquear o acesso de uma maquina a internet, por exemplo, com o IP 192.168.0.10.

Valeu

[1c3m4n]

iptables -A FORWARD -p tcp -s IP --dport 80 -j DROP
agora se o cara tiver usando squid vc bloqueia input na porta 3128

iptables -t filter -A INPUT -p tcp -s ENDERECO_IP -j DROP

isso resolve seu problema ? voce pode encrementar esse comando com -d

iptables -t filter -A INPUT -p tcp -s ENDERECO_IP -d SEU_IP_NA_REDE -j DROP

[1c3m4n]

nao visitante isso nao resolve
INPUT vc soh usa se ele for acessar a porta do SEU servidor, como ele quer bloquear alguem da rede acessar a internet eh com forward ou entaum bloqueando a porta do squid... bom ai ele tem q ver

[Terry]

Áí 1c3.

Até funcionou a regra que tu me passou. Mas se o cara configurar o servidor DNS alternativo com o ip do meu server ele consegue acessar tudo. E ele sabe disso. Alguma outra idéia?
Valeu

[lss]

iptables -P FORWARD -j DROP #bloqueia acesso a todos

iptables -A FORWARD -s 192.168.1.x -j ACCEPT
iptables -A FORWARD -d 192.168.1.x -j ACCEPT
ja tentou fazer isso, bloquear todos e liberar somente o que vc quer que navegue ? ou negue tudo vindo do determinado ip iptables -A FORWARD -p tcp -d 0/0 -s 192.168.1.x -j DROP

[Terry]

ixi cara é complicado assim, porque a minha rede é de uma faculdade, aí são quase 300 maquinas que teria que configurar.
E só estou tendo problema com um cara aqui, que acha que superior a tudo e a todos. Um desses sangue-sungas miseráveis.
Valeu

[lss]

bloqueia o input na porta entao pro determinado ip
iptables -A INPUT -p tcp -s ip --dport 53 -j DROP

[Terry]

Cara.
Ainda não deu. Acho que não tem como mesmo, se o cara colocar o ip do meu server, não tem como evitar
Valeu

Mano vc pode rejeitar tudo q vem da maquina dele?
Se poder isso vai resolver.

# iptables -A FORWARD -s 192.168.0.50 -d 192.168.0.1 -j DROP
Dropa tudo q vem da maquina dele.

ou

# iptables -A FORWARD -s 192.168.0.50 -d ethx -j DROP
Dropa tudo oq a maquina dele manda para a internet.

192.168.0.50 (ip do cara)

192.168.0.1 (ip do Firewall)

ethx (eth de saida para a internet)

Acho q isso resolve.

[lacierdias]

Mano vc pode rejeitar tudo q vem da maquina dele?
Se poder isso vai resolver.

# iptables -A FORWARD -s 192.168.0.50 -d 192.168.0.1 -j DROP
Dropa tudo q vem da maquina dele.

ou

# iptables -A FORWARD -s 192.168.0.50 -d ethx -j DROP
Dropa tudo oq a maquina dele manda para a internet.

192.168.0.50 (ip do cara)

192.168.0.1 (ip do Firewall)

ethx (eth de saida para a internet)

Acho q isso resolve.

Não estava logado....foi mal......


Agora se o cara mudar o ip dele ai mano ja era pq como vc vai saber q ip ele colocou....
Oq vc pode fazer é um controle de banda...
Dá uma olhada derrepente te ajuda.

http://www.vivaolinux.com.br/artigos...hp?codigo=1016

[1c3m4n]

Áí 1c3.

Até funcionou a regra que tu me passou. Mas se o cara configurar o servidor DNS alternativo com o ip do meu server ele consegue acessar tudo. E ele sabe disso. Alguma outra idéia?
Valeu

Isso quer dizer q ele ta usando seu proxy neh? bloqueia o INPUT dele na porta do seu proxy, ou entaum se o engracadinho tiver trocando o ip da maquina dele bloqueia usando o mac address

[gmlinux]

Mais se ele estiver trovando o ip ele pode trocar o mac, no linux opcão hw do ifconfig e no windows registro em algumas versões e em outras a própria interface "next next next", seria necessário mapear mac e porta no switch, alem das regras de acesso do ipfilter e squid... se o cara é realmente bom, vai dar um trabalho....