12. $IPT -A INPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_INPUT: "
13. $IPT -A INPUT -i $IF -d $IP -j DROP
14. $IPT -A OUTPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_OUTPUT: "
15. $IPT -A OUTPUT -o $IF -d $IP -j DROP
16. $IPT -A FORWARD -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_FORWARD: "
17. $IPT -A FORWARD -i $IF -d $IP -j DROP
 

$IPT -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state state NEW,ESTABLISHED -j ACCEPT
 

$IPT -A OUTPUT -o $IF -s $IP -p udp -d <DNS_của_ISP> --dport 53 -m state state NEW,ESTABLISHED -j ACCEPT
 

1. IF=`/sbin/route | grep -i 'default' | awk '{print $8}'`
2. IP=`/sbin/ifconfig $IF | grep "inet addr" | awk -F":" '{print $2}' | awk '{print $1}'`
3. IPT="/usr/local/sbin/iptables"
4. ISP_DNS="xxx.xxx.xxx.xxx"
5. $IPT -F
6. $IPT -P INPUT DROP
7. $IPT -P OUTPUT DROP
8. $IPT -P FORWARD DROP
9. $IPT -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state state NEW,ESTABLISHED -j ACCEPT
10. $IPT -A OUTPUT -o $IF -s $IP -p udp -d $ISP_DNS --dport 53 -m state state NEW,ESTABLISHED -j ACCEPT
11. $IPT -A INPUT -i $IF -d $IP -m state --state ESTABLISHED,RELATED -j ACCEPT
12. $IPT -A INPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_INPUT: "
13. $IPT -A INPUT -i $IF -d $IP -j DROP
14. $IPT -A OUTPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_OUTPUT: "
15. $IPT -A OUTPUT -o $IF -d $IP -j DROP
16. $IPT -A FORWARD -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_FORWARD: "
17. $IPT -A FORWARD -i $IF -d $IP -j DROP 

 

tranvanminh wrote:

12. $IPT -A INPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_INPUT: "
13. $IPT -A INPUT -i $IF -d $IP -j DROP
14. $IPT -A OUTPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_OUTPUT: "
15. $IPT -A OUTPUT -o $IF -d $IP -j DROP
16. $IPT -A FORWARD -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_FORWARD: "
17. $IPT -A FORWARD -i $IF -d $IP -j DROP
 

$IPT -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state state NEW,ESTABLISHED -j ACCEPT
 

$IPT -A OUTPUT -o $IF -s $IP -p udp -d <DNS_của_ISP> --dport 53 -m state state NEW,ESTABLISHED -j ACCEPT
 

1. IF=`/sbin/route | grep -i 'default' | awk '{print $8}'`
2. IP=`/sbin/ifconfig $IF | grep "inet addr" | awk -F":" '{print $2}' | awk '{print $1}'`
3. IPT="/usr/local/sbin/iptables"
4. ISP_DNS="xxx.xxx.xxx.xxx"
5. $IPT -F
6. $IPT -P INPUT DROP
7. $IPT -P OUTPUT DROP
8. $IPT -P FORWARD DROP
9. $IPT -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state state NEW,ESTABLISHED -j ACCEPT
10. $IPT -A OUTPUT -o $IF -s $IP -p udp -d $ISP_DNS --dport 53 -m state state NEW,ESTABLISHED -j ACCEPT
11. $IPT -A INPUT -i $IF -d $IP -m state --state ESTABLISHED,RELATED -j ACCEPT
12. $IPT -A INPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_INPUT: "
13. $IPT -A INPUT -i $IF -d $IP -j DROP
14. $IPT -A OUTPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_OUTPUT: "
15. $IPT -A OUTPUT -o $IF -d $IP -j DROP
16. $IPT -A FORWARD -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_FORWARD: "
17. $IPT -A FORWARD -i $IF -d $IP -j DROP 

 

Đào mộ 1 phát

----> sửa thành: state --state
----> sử thành -o 

Cám ơn bồ. Tớ quả có gõ sai vài chỗ mà cũng không rà soát lại trong suốt ngần ấy năm  

#/bin/bash

IF=`/sbin/route | grep -i 'default' | awk '{print $8}'`
IP=`/sbin/ifconfig $IF | grep "inet addr" | awk -F":" '{print $2}' | awk '{print $1}'`
ISP_DNS="8.8.8.8"

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i $IF -d $IP -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -o $IF -s $IP -p udp -d $ISP_DNS --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_INPUT: "
iptables -A INPUT -i $IF -d $IP -j DROP
iptables -A OUTPUT -o $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_OUTPUT: "
iptables -A OUTPUT -o $IF -d $IP -j DROP
iptables -A FORWARD -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_FORWARD: "
iptables -A FORWARD -i $IF -d $IP -j DROP
 

Do em có sử dụng thêm dịch vụ Torrent
nên em có sử dụng -> iptables -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m state --state NEW,ESTABLISHED -j ACCEPT
Vậy có thể có cách nào để có thể thu hẹp OUTPUT hơn được ko vậy? vì em có thử dùng Wireshark để capture lại nhưng thấy dữ liệu được đi ra với rất nhiều port và các port này ko cố định nên ko biết cách nào để giới hạn thêm.
 

Anh conmale,

Em nghĩ ý bạn ấy là cho phép (ACCEPT) chứ không phải là chặn (DROP) anh à. 

quanta wrote:

Anh conmale,

Em nghĩ ý bạn ấy là cho phép (ACCEPT) chứ không phải là chặn (DROP) anh à. 

Anh thì hiểu là bạn ấy muốn ngăn cản torrent. Bởi vậy, bạn ấy mới cho phép 80, 443 và 5050. Nếu đã ACCEPT hết thì còn phải nêu đến chuyện "giới hạn" làm chi nữa em? 

1# iptables -P OUTPUT DROP 
2# iptables -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m state --state NEW,ESTABLISHED -j ACCEPT

Bạn khó (hoặc không thể) giới hạn torrent theo port được. Do vậy, bạn thử ngâm cứu opendpi xem: http://code.google.com/p/opendpi/
Ví dụ:
# iptables -A OUTPUT -m opendpi --edonkey --fasttrack --gnutella --directconnect --bittorrent --apple --winmx --soulseek -j ACCEPT

PS: Nghe nói l7-filter cũng có thể lọc torrent traffic được nhưng mình chưa thử.
 

conmale wrote:

quanta wrote:

Anh conmale,

Em nghĩ ý bạn ấy là cho phép (ACCEPT) chứ không phải là chặn (DROP) anh à. 

Anh thì hiểu là bạn ấy muốn ngăn cản torrent. Bởi vậy, bạn ấy mới cho phép 80, 443 và 5050. Nếu đã ACCEPT hết thì còn phải nêu đến chuyện "giới hạn" làm chi nữa em? 

Ở đoạn Code trên của em: sau khi em
Code:

1# iptables -P OUTPUT DROP 
2# iptables -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state --state NEW,ESTABLISHED -j ACCEPT

thì em chỉ có thể sử dụng được HTTP, HTTPs, Yahoo Messenger. Nhưng do nhu cầu sử dụng thêm dịch vụ Torrent nên em phải thay 2# bằng
Code:

iptables -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m state --state NEW,ESTABLISHED -j ACCEPT

Với rules thế này thì máy em có thể sử dụng tất cả các dịch vụ. nhưng em muốn giới hạn chỉ cho máy sử dụng: HTTP, HTTPs, Yahoo Messenger, Torrent. vì thế nên em muốn giới hạn OUTPUT.

quanta wrote:

Bạn khó (hoặc không thể) giới hạn torrent theo port được. Do vậy, bạn thử ngâm cứu opendpi xem: http://code.google.com/p/opendpi/
Ví dụ:
# iptables -A OUTPUT -m opendpi --edonkey --fasttrack --gnutella --directconnect --bittorrent --apple --winmx --soulseek -j ACCEPT

PS: Nghe nói l7-filter cũng có thể lọc torrent traffic được nhưng mình chưa thử.
 

Em sẽ tìm hiểu thêm về opendpi và l7-filter. có gì em sẽ post tiếp lên đây.

Cám ơn 2 anh nhiều ạ  

1. IF=`/sbin/route | grep -i 'default' | awk '{print $8}'`
2. IP=`/sbin/ifconfig $IF | grep "inet addr" | awk -F":" '{print $2}' | awk '{print $1}'`
3. IPT="/usr/local/sbin/iptables"
4. ISP_DNS="xxx.xxx.xxx.xxx"
5. $IPT -F
6. $IPT -P INPUT DROP
7. $IPT -P OUTPUT DROP
8. $IPT -P FORWARD DROP
9. $IPT -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state state NEW,ESTABLISHED -j ACCEPT
10. $IPT -A OUTPUT -o $IF -s $IP -p udp -d $ISP_DNS --dport 53 -m state state NEW,ESTABLISHED -j ACCEPT
11. $IPT -A INPUT -i $IF -d $IP -m state --state ESTABLISHED,RELATED -j ACCEPT
12. $IPT -A INPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_INPUT: "
13. $IPT -A INPUT -i $IF -d $IP -j DROP
14. $IPT -A OUTPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_OUTPUT: "
15. $IPT -A OUTPUT -o $IF -d $IP -j DROP
16. $IPT -A FORWARD -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_FORWARD: "
17. $IPT -A FORWARD -i $IF -d $IP -j DROP 

1. IF=`/sbin/route | grep -i 'default' | awk '{print $8}'`
2. IP=`/sbin/ifconfig $IF | grep "inet addr" | awk -F":" '{print $2}' | awk '{print $1}'`
3. IPT="/usr/local/sbin/iptables"
4. ISP_DNS="xxx.xxx.xxx.xxx"
5. $IPT -F
6. $IPT -P INPUT DROP
7. $IPT -P OUTPUT DROP
8. $IPT -P FORWARD DROP
9. $IPT -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state state NEW,ESTABLISHED -j ACCEPT
10. $IPT -A OUTPUT -o $IF -s $IP -p udp -d $ISP_DNS --dport 53 -m state state NEW,ESTABLISHED -j ACCEPT
11. $IPT -A INPUT -i $IF -d $IP -m state --state ESTABLISHED,RELATED -j ACCEPT
12. $IPT -A INPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_INPUT: "
13. $IPT -A INPUT -i $IF -d $IP -j DROP
14. $IPT -A OUTPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_OUTPUT: "
15. $IPT -A OUTPUT -o $IF -d $IP -j DROP
16. $IPT -A FORWARD -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_FORWARD: "
17. $IPT -A FORWARD -i $IF -d $IP -j DROP 

---> Híc bài đã lâu những e xin đào mộ một chút ---> có phải nó là -s chứ không phải là -d không nhỉ 

#/bin/bash

IF=`/sbin/route | grep -i 'default' | awk '{print $8}'`
IP=`/sbin/ifconfig $IF | grep "inet addr" | awk -F":" '{print $2}' | awk '{print $1}'`
ISP_DNS="8.8.8.8"

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A OUTPUT -o $IF -s $IP -p tcp -d any/0 -m multiport --dport 80,443,5050 -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -i $IF -d $IP -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A OUTPUT -o $IF -s $IP -p udp -d $ISP_DNS --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT

iptables -A INPUT -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_INPUT: "
iptables -A INPUT -i $IF -d $IP -j DROP
iptables -A OUTPUT -o $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_OUTPUT: "
iptables -A OUTPUT -o $IF -d $IP -j DROP
iptables -A FORWARD -i $IF -d $IP -m limit --limit 1/s -j LOG --log-level 5 --log-prefix "BAD_FORWARD: "
iptables -A FORWARD -i $IF -d $IP -j DROP