URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 39470
[ Назад ]

Исходное сообщение
"Раздел полезных советов: Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено auto_tips , 20-Дек-07 10:48

#!/bin/sh
#
#REJECTSPAMMERS v0.1b Lev Zabudkin. zabudkin@mail.ru
#
#Описание:
#   Данный скрипт аккумулирует (создаёт/пополняет) уникальный список IP адресов,
#   которые были отброшены SMTP сервером.
#   Скрипт создан с той целью, чтобы REJECT'ить в дальнейшем все пакеты с таких адресов.
#
#Действие:
#   После выполнения будут созданы файлы в папке указанной в SCRIPTDIR (см. ниже):
#   rejectspammers.run.iptables.block.byip.add             - Блокировать IP адреса
#   rejectspammers.run.iptables.block.byip.delete          - Убрать прежнюю блокировку IP адресов
#   rejectspammers.run.iptables.block.byip.subnet24.add    - Блокировать всю подсеть 255.255.255.0 IP адресов
#   rejectspammers.run.iptables.block.byip.subnet24.delete - Убрать прежнюю блокировку подсети 255.255.0.0
#   rejectspammers.run.iptables.block.byip.subnet16.add    - Блокировать всю подсеть 255.255.0.0 IP адресов
#   rejectspammers.run.iptables.block.byip.subnet16.delete - Убрать прежнюю блокировку подсети 255.0.0.0
#   rejectspammers.run.iptables.block.byip.subnet8.add     - Блокировать всю подсеть 255.0.0.0 IP адресов
#   rejectspammers.run.iptables.block.byip.subnet8.delete  - Убрать прежнюю блокировку подсети 255.0.0.0
#
# Соответственно для нужной блокировки запустите нужный файл.
#
#Создавать ли файлы с цепочками DELETE
MAKEDELETEOLD=yes
#Файл с логами SMTP сервера
MAILLOG=/var/log/maillog
#Каталог, в котором создавать скрипты iptables
SCRIPTDIR=/
#Временный каталог
TEMPDIR=/tmp

cat $MAILLOG | grep rejected >$TEMPDIR/rejectedspammers
awk '{user[tolower($10)]=$10} END {for(i in user) {print i}}' $TEMPDIR/rejectedspammers >$TEMPDIR/rejectedspammers.list
cat $TEMPDIR/rejectedspammers.list |cut -d '[' -f2|cut -d ']' -f1 | uniq >$TEMPDIR/rejectspammers.ips
awk --field-separator=. '{print "iptables -A INPUT -s "$1"."$2"."$3"."$4" -p tcp --dport 25 -j REJECT";}' \
   $TEMPDIR/rejectspammers.ips>>$SCRIPTDIR/rejectspammers.run.iptables.block.byip.add
awk --field-separator=. '{print "iptables -A INPUT -s "$1"."$2"."$3".".0/24" -p tcp --dport 25 -j REJECT";}' \
   $TEMPDIR/rejectspammers.ips>>$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet24.add
awk --field-separator=. '{print "iptables -A INPUT -s "$1"."$2".".0/16" -p tcp --dport 25 -j REJECT";}' \
   $TEMPDIR/rejectspammers.ips>>$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet16.add
awk --field-separator=. '{print "iptables -A INPUT -s "$1".".0/8" -p tcp --dport 25 -j REJECT";}' \
   $TEMPDIR/rejectspammers.ips>>$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet8.add
cat $SCRIPTDIR/rejectspammers.run.iptables.block.byip.add | sort | uniq \
   >$TEMPDIR/rejectspammers.run.iptables.block.byip.add.temp
cat $TEMPDIR/rejectspammers.run.iptables.block.byip.add.temp >$SCRIPTDIR/rejectspammers.run.iptables.block.byip.add
cat $SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet24.add | sort | uniq \
   >$TEMPDIR/rejectspammers.run.iptables.block.bysubnet24.add.temp
cat $TEMPDIR/rejectspammers.run.iptables.block.bysubnet24.add.temp >$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet24.add
cat $SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet16.add | sort | uniq \
   >$TEMPDIR/rejectspammers.run.iptables.block.bysubnet16.add.temp
cat $TEMPDIR/rejectspammers.run.iptables.block.bysubnet16.add.temp >$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet16.add
cat $SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet8.add | sort | uniq \
   >$TEMPDIR/rejectspammers.run.iptables.block.bysubnet8.add.temp
cat $TEMPDIR/rejectspammers.run.iptables.block.bysubnet8.add.temp >$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet8.add

if [ "$MAKEDELETEOLD" == "yes" ]; then
awk --field-separator=. '{print "iptables -D INPUT -s "$1"."$2"."$3"."$4" -p tcp --dport 25 -j REJECT";}' \
   $TEMPDIR/rejectspammers.ips>>$SCRIPTDIR/rejectspammers.run.iptables.block.byip.delete
awk --field-separator=. '{print "iptables -D INPUT -s "$1"."$2"."$3".".0/24" -p tcp --dport 25 -j REJECT";}' \
   $TEMPDIR/rejectspammers.ips>>$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet24.delete
awk --field-separator=. '{print "iptables -D INPUT -s "$1"."$2".".0/16" -p tcp --dport 25 -j REJECT";}' \
   $TEMPDIR/rejectspammers.ips>>$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet16.delete
awk --field-separator=. '{print "iptables -D INPUT -s "$1".".0/8" -p tcp --dport 25 -j REJECT";}' \
   $TEMPDIR/rejectspammers.ips>>$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet8.delete
cat $SCRIPTDIR/rejectspammers.run.iptables.block.byip.delete | sort | uniq \
   >$TEMPDIR/rejectspammers.run.iptables.block.byip.delete.temp
cat $TEMPDIR/rejectspammers.run.iptables.block.byip.delete.temp >$SCRIPTDIR/rejectspammers.run.iptables.block.byip.delete
cat $SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet24.delete | sort | uniq \
   >$TEMPDIR/rejectspammers.run.iptables.block.bysubnet24.delete.temp
cat $TEMPDIR/rejectspammers.run.iptables.block.bysubnet24.delete.temp >$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet24.delete
cat $SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet16.delete | sort | uniq \
   >$TEMPDIR/rejectspammers.run.iptables.block.bysubnet16.delete.temp
cat $TEMPDIR/rejectspammers.run.iptables.block.bysubnet16.delete.temp >$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet16.delete
cat $SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet8.delete | sort | uniq \
   >$TEMPDIR/rejectspammers.run.iptables.block.bysubnet8.delete.temp
cat $TEMPDIR/rejectspammers.run.iptables.block.bysubnet8.delete.temp >$SCRIPTDIR/rejectspammers.run.iptables.block.bysubnet8.delete
fi
chmod +0755 $SCRIPTDIR/rejectspammers.run.iptables.block.*

URL:
Обсуждается: http://www.opennet.me/tips/info/1525.shtml

Содержание

Блокировка отброшенных SMTP сервером IP адресов/подсетей.,Аноним, 10:48 , 20-Дек-07
- Блокировка отброшенных SMTP сервером IP адресов/подсетей.,andrey, 11:43 , 20-Дек-07
Блокировка отброшенных SMTP сервером IP адресов/подсетей.,Аноним, 11:08 , 21-Дек-07
Блокировка отброшенных SMTP сервером IP адресов/подсетей.,greg, 12:18 , 23-Дек-07
- Блокировка отброшенных SMTP сервером IP адресов/подсетей.,lizard, 15:32 , 23-Дек-07
- Блокировка отброшенных SMTP сервером IP адресов/подсетей.,КУКУ, 21:05 , 26-Дек-07
  - Блокировка отброшенных SMTP сервером IP адресов/подсетей.,Andrey Y. Ostanovsky, 16:48 , 27-Дек-07
    - Блокировка отброшенных SMTP сервером IP адресов/подсетей.,lizard, 12:51 , 28-Дек-07
Блокировка отброшенных SMTP сервером IP адресов/подсетей.,Евгений, 12:59 , 13-Дек-08

Сообщения в этом обсуждении

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено Аноним , 20-Дек-07 10:48

хм... скрипт плох тем что много раз зовёт iptables, вместо того чтобы пользоваться iptables-save/iptables-restore.

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено andrey , 20-Дек-07 11:43

>хм... скрипт плох тем что много раз зовёт iptables, вместо того чтобы
>пользоваться iptables-save/iptables-restore.
согласен, еще бы приделать статистику, чтобы оставлять к примеру адреса которые засветились только определенный промежуток времени

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено Аноним , 21-Дек-07 11:08

а по каким критериям у вас почтовик отбрасыват эти айпи?
спамлисты?

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено greg , 23-Дек-07 12:18

Чего только люди не придумают, чтобы нормальными решениями не пользоваться...

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено lizard , 23-Дек-07 15:32

greg, а какими решениями советуете пользоваться вы? например postfix рвет сессию по причине отсутствия DNS-записей для конкретного ip, но письма с этого ip регулярно идут, как с этим бороться сократив количество проверок? помнится в mdaemon был механизм ip screening когда после определенного числа regect'ов ip заносился в базу на определенное время, но для постфикса я не могу найти такого решения..

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено КУКУ , 26-Дек-07 21:05

нормальным это каким?

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено Andrey Y. Ostanovsky , 27-Дек-07 16:48

Ну, хотя бы с помощью вот такой оценки активности:
http://home.nuug.no/~peter/pf/en/long-firewall.html#BRUTEFORCE

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено lizard , 28-Дек-07 12:51

а есть порты PF под linux? или решение только под bsd?

"Блокировка отброшенных SMTP сервером IP адресов/подсетей."
Отправлено Евгений , 13-Дек-08 12:59

Зачем PF под Linux? Вот смотри...
http://kevin.vanzonneveld.net/techblog/article/block_brute_f.../