URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 94448
[ Назад ]

Исходное сообщение
"Не блокируется IP в IPTABLES"

Отправлено pavelstop , 10-Мрт-13 20:35 
Добрый день, дамы и господа. Вообщем, пытаюсь заблокировать один IP-злоумышленника, чтобы не заходил на сайт

Вввожу в консоль:
iptables -I INPUT -s 1.1.1.1 -j DROP

Но все равно с IP 1.1.1.1 можно зайти на сайт, ладно, дальше

iptables -A INPUT -s 1.1.1.1 -j DROP

Но опять не помогает.


Как быть, ребята.

Я не совсем в этом понимаю :)


Содержание

Сообщения в этом обсуждении
"Не блокируется IP в IPTABLES"
Отправлено PavelR , 10-Мрт-13 21:16 
> Добрый день, дамы и господа. Вообщем, пытаюсь заблокировать один IP-злоумышленника, чтобы
> не заходил на сайт

Боюсь, что ваша система настолько дырява, что вы даже не видите настоящего IP "злоумышленника".

> Как быть, ребята.
> Я не совсем в этом понимаю :)

видимо выключить сервер, а иначе никак.


"Не блокируется IP в IPTABLES"
Отправлено pavelstop , 10-Мрт-13 21:27 
>> Добрый день, дамы и господа. Вообщем, пытаюсь заблокировать один IP-злоумышленника, чтобы
>> не заходил на сайт
> Боюсь, что ваша система настолько дырява, что вы даже не видите настоящего
> IP "злоумышленника".
>> Как быть, ребята.
>> Я не совсем в этом понимаю :)
> видимо выключить сервер, а иначе никак.

Блин :)

Вообщем его IP я знаю... В правилах я указал для примера, вообще левый IP.


Также для текста я решил сделать, проверить.

Беру другой ноут с другим инетом, и блокирую его IP в IPTABLES, но он все равно заходит


"Не блокируется IP в IPTABLES"
Отправлено pavlinux , 10-Мрт-13 21:35 
> но он все равно заходит

Чудес не бывает, показывай ifconfig -a, route -n и iptables-save.


"Не блокируется IP в IPTABLES"
Отправлено pavelstop , 10-Мрт-13 21:46 
>> но он все равно заходит
> Чудес не бывает, показывай ifconfig -a, route -n и iptables-save.

[root@pavl ~]# iptables-save
# Generated by iptables-save v1.4.7 on Sun Mar 10 21:53:08 2013
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [828194:117273385]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m multiport --dports 20,21,22,80,99,1500:1505,27014:27050 -j AC                                                                                        CEPT
-A INPUT -p udp -m multiport --dports 29000,27000:27030 -j ACCEPT
-A INPUT -p udp -m udp -m string --hex-string "|17c74a30a2fb752396b63532b1bf79b0                                                                                        |" --algo kmp --to 65535 -j DROP
-A INPUT -p udp -m udp -m string --hex-string "|17951a20e2ab6d63d6ac7d62f1f721e0                                                                                        57cd4270e2f1357396f66522f1ed61f0|" --algo kmp --to 65535 -j DROP
-A INPUT -p udp -m udp -m string --hex-string "|178f5230e2e17d73d6bc6562f1ed29e0                                                                                        |" --algo kmp --to 65535 -j DROP
-A INPUT -p udp -m udp -m string --hex-string "|d50000806e000000|" --algo kmp --                                                                                        to 65535 -j DROP
-A INPUT -p udp -m udp -m string --hex-string "|ffffffff6765746368616c6c656e6765                                                                                        000000000000|" --algo kmp --to 65535 -j DROP
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A OUTPUT -p icmp -m icmp --icmp-type any -j ACCEPT
COMMIT
# Completed on Sun Mar 10 21:53:08 2013

[root@pavl ~]#  route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
192.168.1.0     0.0.0.0         255.255.255.0   U     0      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     1003   0        0 eth0
0.0.0.0         192.168.1.1     0.0.0.0         UG    0      0        0 eth0

[root@pavl ~]#  ifconfig -a
eth0      Link encap:Ethernet  HWaddr 00:21:91:8B:5A:0A
          inet addr:192.168.1.100  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::221:91ff:fe8b:5a0a/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:650224 errors:0 dropped:0 overruns:0 frame:0
          TX packets:869460 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:50952223 (48.5 MiB)  TX bytes:136622485 (130.2 MiB)
          Interrupt:19 Base address:0x6000

eth1      Link encap:Ethernet  HWaddr 00:15:58:46:AC:78
          BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)
          Interrupt:19 Base address:0xd400

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:1088 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1088 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:157509 (153.8 KiB)  TX bytes:157509 (153.8 KiB)


"Не блокируется IP в IPTABLES"
Отправлено pavlinux , 10-Мрт-13 22:11 
> ...
> :INPUT ACCEPT [0:0]
> :FORWARD ACCEPT [0:0]
> :OUTPUT ACCEPT [828194:117273385]

Эти три должны быть DROP. По циферкам [0:0] можешь видеть, что ни один пакет в них не попал.

iptables -P INPUT -j DROP
iptables -P OUTPUT -j DROP
iptables -P FORWARD -j DROP  

иначе всё ниже написанное теряет смысл. :)

> -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
> -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
> -A INPUT -i lo -j ACCEPT
>...


"Не блокируется IP в IPTABLES"
Отправлено pavelstop , 10-Мрт-13 22:19 
>[оверквотинг удален]
>> :OUTPUT ACCEPT [828194:117273385]
> Эти три должны быть DROP
> iptables -P INPUT -j DROP
> iptables -P OUTPUT -j DROP
> iptables -P FORWARD -j DROP
> иначе всё ниже написанное теряет смысл. :)
>> -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
>> -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
>> -A INPUT -i lo -j ACCEPT
>>...

Хорошо. Но как быть с блокировкой IP. Если изменю, будет все отлично? Но ведь замена это для тех, нижних правил.


"Не блокируется IP в IPTABLES"
Отправлено pavlinux , 10-Мрт-13 22:28 
>[оверквотинг удален]
>> iptables -P INPUT -j DROP
>> iptables -P OUTPUT -j DROP
>> iptables -P FORWARD -j DROP
>> иначе всё ниже написанное теряет смысл. :)
>>> -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
>>> -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
>>> -A INPUT -i lo -j ACCEPT
>>>...
> Хорошо. Но как быть с блокировкой IP. Если изменю, будет все отлично?
> Но ведь замена это для тех, нижних правил.

Есть два вида фаерволов.

1. Запретить всё - разрешать выборочно!
2. Разрешить всё - запрещать выборочно!

Если ещё плохо ориентируешься в iptables, начни со второго варианта.


"Не блокируется IP в IPTABLES"
Отправлено ACCA , 11-Мрт-13 02:43 
Только запутали чувака. Правила проверяются сверху вниз, за исключением default.

Если у тебя вначале стоит
   -A INPUT -p tcp -m multiport --dports 20,21,22,80,99,1500:1505,27014:27050 -j ACCEPT

*ктати, а вот нахера столько открывать?*, то
   -A INPUT -s 1.1.1.1 -j DROP
бессмысленное занятие.

Сделай
   -I INPUT -s 1.1.1.1 -j DROP

и проверь, что это попало в таблицу, и попало на первое место.


"Не блокируется IP в IPTABLES"
Отправлено PavelR , 11-Мрт-13 07:53 
> Сделай
>    -I INPUT -s 1.1.1.1 -j DROP
> и проверь, что это попало в таблицу, и попало на первое место.

Ну он типа так уже делал:

>Вввожу в консоль:
>iptables -I INPUT -s 1.1.1.1 -j DROP
>Но все равно с IP 1.1.1.1 можно зайти на сайт


"Не блокируется IP в IPTABLES"
Отправлено pavlinux , 11-Мрт-13 15:54 
> Правила проверяются сверху вниз, за исключением default.

Да ну?!

А я-то всё время думал, что вот так (для INPUT)

-t raw PREROUTING (раньше raw небыло)
-t mangle PREROUTING
-t nat PREROUTING
-t mangle INPUT
-t filter INPUT



"Не блокируется IP в IPTABLES"
Отправлено ACCA , 12-Мрт-13 02:14 
> А я-то всё время думал, что вот так (для INPUT)

Ну, давай будем умничать. Ему до разницы между INPUT и OUTPUT ещё пыхтеть и пыхтеть, у него очень простой косяк в INPUT.


"Не блокируется IP в IPTABLES"
Отправлено LSTemp , 13-Мрт-13 22:26 
>> Правила проверяются сверху вниз, за исключением default.
> Да ну?!
> А я-то всё время думал, что вот так (для INPUT)
> -t raw PREROUTING (раньше raw небыло)
> -t mangle PREROUTING
> -t nat PREROUTING
> -t mangle INPUT
> -t filter INPUT

Но это проядок прохождения пакетов по таблицам на сам хост с iptables. Автор же (на сколько я понял) пытается блокировать прохождение пакетов от другого хоста. Очевидно, что надо обрабатывать транзитный трафик, а не трафик к машине, на которой iptables стоит.



"Не блокируется IP в IPTABLES"
Отправлено LSTemp , 13-Мрт-13 22:45 
>> Правила проверяются сверху вниз, за исключением default.
> Да ну?!

он имел в виду порядок прохождения правил внутри цепоцек, а не по таблицам.

> А я-то всё время думал, что вот так (для INPUT)
> -t raw PREROUTING (раньше raw небыло)
> -t mangle PREROUTING
> -t nat PREROUTING
> -t mangle INPUT
> -t filter INPUT


"Не блокируется IP в IPTABLES"
Отправлено LSTemp , 14-Мрт-13 02:26 
> Если ещё плохо ориентируешься в iptables, начни со второго варианта.

хреновый вариант. так он никогда ошибок своих не увидет, пока кто-то со стороны свистеть не начнет про то, какой он гад и откуда у него руки растут.



"Не блокируется IP в IPTABLES"
Отправлено LSTemp , 11-Мрт-13 19:18 
>> ...
>> :INPUT ACCEPT [0:0]
>> :FORWARD ACCEPT [0:0]
>> :OUTPUT ACCEPT [828194:117273385]
> Эти три должны быть DROP. По циферкам [0:0] можешь видеть, что ни
> один пакет в них не попал.
> iptables -P INPUT -j DROP
> iptables -P OUTPUT -j DROP
> iptables -P FORWARD -j DROP
> иначе всё ниже написанное теряет смысл. :)

Вообще все наоборот. По полиси будут обработаны пакеты не попавшие ни в одно правило цепочки. Это действие по умолчанию, которое выполняется В КОНЦЕ.

>> -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
>> -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
>> -A INPUT -i lo -j ACCEPT
>>...


"Не блокируется IP в IPTABLES"
Отправлено LSTemp , 14-Мрт-13 02:23 
>> ...
>> :INPUT ACCEPT [0:0]
>> :FORWARD ACCEPT [0:0]
>> :OUTPUT ACCEPT [828194:117273385]
> Эти три должны быть DROP. По циферкам [0:0] можешь видеть, что ни
> один пакет в них не попал.

от смены политики обработки пакетов по умолчанию, количество попавших сюда пакетов никак не изменится )

> iptables -P INPUT -j DROP
> iptables -P OUTPUT -j DROP
> iptables -P FORWARD -j DROP
> иначе всё ниже написанное теряет смысл. :)
>> -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
>> -A INPUT -p icmp -m icmp --icmp-type any -j ACCEPT
>> -A INPUT -i lo -j ACCEPT
>>...


"Не блокируется IP в IPTABLES"
Отправлено OldDiesel , 11-Мрт-13 12:28 
> Добрый день, дамы и господа. Вообщем, пытаюсь заблокировать один IP-злоумышленника, чтобы
> не заходил на сайт
> Вввожу в консоль:
> iptables -I INPUT -s 1.1.1.1 -j DROP
> Но все равно с IP 1.1.1.1 можно зайти на сайт, ладно, дальше
> iptables -A INPUT -s 1.1.1.1 -j DROP
> Но опять не помогает.
> Как быть, ребята.
> Я не совсем в этом понимаю :)

iptables -I INPUT -s 1.1.1.1 -j DROP
Должно работать, если сайт на том же боксе где у тебя это правило написано
В противном случае неверный IP.


"Не блокируется IP в IPTABLES"
Отправлено LSTemp , 11-Мрт-13 19:22 
> Добрый день, дамы и господа. Вообщем, пытаюсь заблокировать один IP-злоумышленника, чтобы
> не заходил на сайт
> Вввожу в консоль:
> iptables -I INPUT -s 1.1.1.1 -j DROP
> Но все равно с IP 1.1.1.1 можно зайти на сайт, ладно, дальше
> iptables -A INPUT -s 1.1.1.1 -j DROP
> Но опять не помогает.
> Как быть, ребята.
> Я не совсем в этом понимаю :)

Цепочка INPUT обрабатывает запросы, которые идут непосредственно на машину с iptables. Если Надо блокировать трафик, котрорый проходит от клиента к серверу через данную машину транзитно, то нужно использовать другие цепочки в тругих таблицах.


"Не блокируется IP в IPTABLES"
Отправлено pavlinux , 12-Мрт-13 03:22 
>... то нужно использовать другие цепочки в тругих таблицах.

Прально, предлагаю банить cразу в PREROUTING, а ещо есть ebtables и arptables

Во, я придумал:  

iptables -I PREROUTING -s 1.1.1.1 -j MIRROR  



"Не блокируется IP в IPTABLES"
Отправлено LSTemp , 13-Мрт-13 04:07 
>>... то нужно использовать другие цепочки в тругих таблицах.
> Прально, предлагаю банить cразу в PREROUTING, а ещо есть ebtables и arptables
> Во, я придумал:
> iptables -I PREROUTING -s 1.1.1.1 -j MIRROR

Идеологически правильней засунуть подобные правила в цепочку FORWARD таблицы FILTER.


"Не блокируется IP в IPTABLES"
Отправлено LSTemp , 13-Мрт-13 22:47 
>>>... то нужно использовать другие цепочки в тругих таблицах.
>> Прально, предлагаю банить cразу в PREROUTING, а ещо есть ebtables и arptables
>> Во, я придумал:
>> iptables -I PREROUTING -s 1.1.1.1 -j MIRROR
> Идеологически правильней засунуть подобные правила в цепочку FORWARD таблицы FILTER.

я имел в виду правила блокировки транзитного трафика.


"Не блокируется IP в IPTABLES"
Отправлено ivankz , 02-Июн-16 12:31 
Доброго времени суток!

Прошу сильно не пинайте, только начинаю разбираться с iptables...

Но тоже проблема, на Mandriva стоит VBox, на Боксе поднят почтовый сервер на Win2008 сервер H-Mail ip 192.185.0.55

Постоянно пытаются ломать. ( IP разные, уже целый список)
--------------------------------------------------------------
3949    15:03:16.618245    vnesh_IP    180.166.46.151    SMTP    S: 535 Authentication failed. Too many invalid logon attempts.
--------------------------------------------------------------
iptables-save
# Generated by iptables-save v1.4.7 on Thu Jun  2 14:49:52 2016
*raw
:PREROUTING ACCEPT [1758:231837]
:OUTPUT ACCEPT [1456:389798]
COMMIT
# Completed on Thu Jun  2 14:49:52 2016
# Generated by iptables-save v1.4.7 on Thu Jun  2 14:49:52 2016
*nat
:PREROUTING ACCEPT [151:17934]
:POSTROUTING ACCEPT [20:1347]
:OUTPUT ACCEPT [20:1347]
-A PREROUTING -d vnesh_IP -p tcp -m multiport --dports 25 -j DNAT --to-destination 192.185.0.55
-A PREROUTING -d vnesh_IP -p tcp -m multiport --dports 26 -j DNAT --to-destination 192.185.0.55
-A PREROUTING -d vnesh_IP -p tcp -m multiport --dports 80 -j DNAT --to-destination 192.185.0.99
-A POSTROUTING -d 192.185.0.55/32 -p tcp -m multiport --dports 25 -j SNAT --to-source 192.185.0.115
-A POSTROUTING -d 192.185.0.55/32 -p tcp -m multiport --dports 26 -j SNAT --to-source 192.185.0.84
-A POSTROUTING -d 192.185.0.99/32 -p tcp -m multiport --dports 80 -j SNAT --to-source 192.185.0.84
-A OUTPUT -d vnesh_IP -p tcp -m multiport --dports 25 -j DNAT --to-destination 192.185.0.55
-A OUTPUT -d vnesh_IP -p tcp -m multiport --dports 26 -j DNAT --to-destination 192.185.0.55
-A OUTPUT -d vnesh_IP -p tcp -m multiport --dports 80 -j DNAT --to-destination 192.185.0.99
COMMIT
# Completed on Thu Jun  2 14:49:52 2016
# Generated by iptables-save v1.4.7 on Thu Jun  2 14:49:52 2016
*mangle
:PREROUTING ACCEPT [1758:231837]
:INPUT ACCEPT [1445:198515]
:FORWARD ACCEPT [252:24954]
:OUTPUT ACCEPT [1456:389798]
:POSTROUTING ACCEPT [1709:414821]
:tcfor - [0:0]
:tcout - [0:0]
:tcpost - [0:0]
:tcpre - [0:0]
-A PREROUTING -j tcpre
-A FORWARD -j MARK --set-xmark 0x0/0xffffffff
-A FORWARD -j tcfor
-A OUTPUT -j tcout
-A POSTROUTING -j tcpost
COMMIT
# Completed on Thu Jun  2 14:49:52 2016
# Generated by iptables-save v1.4.7 on Thu Jun  2 14:49:52 2016
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:Drop - [0:0]
:Ifw - [0:0]
:Reject - [0:0]
:dropBcast - [0:0]
:dropInvalid - [0:0]
:dropNotSyn - [0:0]
:dynamic - [0:0]
:fw2net - [0:0]
:logdrop - [0:0]
:logreject - [0:0]
:net2fw - [0:0]
:reject - [0:0]
:shorewall - [0:0]
-A INPUT -s 180.166.46.151/32 -j DROP
-A INPUT -j Ifw
-A INPUT -m conntrack --ctstate INVALID,NEW -j dynamic
-A INPUT -i eth2 -j net2fw
-A INPUT -i ppp0 -j net2fw
-A INPUT -i eth3 -j net2fw
-A INPUT -i vboxnet0 -j net2fw
-A INPUT -i eth1 -j net2fw
-A INPUT -i eth0 -j net2fw
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -j Reject
-A INPUT -j LOG --log-prefix "Shorewall:INPUT:REJECT:" --log-level 6
-A INPUT -g reject
-A FORWARD -m conntrack --ctstate INVALID,NEW -j dynamic
-A FORWARD -i ppp0 -o eth2 -j ACCEPT
-A FORWARD -i ppp0 -o eth3 -j ACCEPT
-A FORWARD -i ppp0 -o vboxnet0 -j ACCEPT
-A FORWARD -i ppp0 -o eth1 -j ACCEPT
-A FORWARD -i ppp0 -o eth0 -j ACCEPT
-A FORWARD -i eth2 -o ppp0 -j ACCEPT
-A FORWARD -i eth2 -o eth3 -j ACCEPT
-A FORWARD -i eth2 -o vboxnet0 -j ACCEPT
-A FORWARD -i eth2 -o eth1 -j ACCEPT
-A FORWARD -i eth2 -o eth0 -j ACCEPT
-A FORWARD -i eth3 -o ppp0 -j ACCEPT
-A FORWARD -i eth3 -o eth2 -j ACCEPT
-A FORWARD -i eth3 -o vboxnet0 -j ACCEPT
-A FORWARD -i eth3 -o eth1 -j ACCEPT
-A FORWARD -i eth3 -o eth0 -j ACCEPT
-A FORWARD -i vboxnet0 -o ppp0 -j ACCEPT
-A FORWARD -i vboxnet0 -o eth2 -j ACCEPT
-A FORWARD -i vboxnet0 -o eth3 -j ACCEPT
-A FORWARD -i vboxnet0 -o eth1 -j ACCEPT
-A FORWARD -i vboxnet0 -o eth0 -j ACCEPT
-A FORWARD -i eth1 -o ppp0 -j ACCEPT
-A FORWARD -i eth1 -o eth2 -j ACCEPT
-A FORWARD -i eth1 -o eth3 -j ACCEPT
-A FORWARD -i eth1 -o vboxnet0 -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o ppp0 -j ACCEPT
-A FORWARD -i eth0 -o eth2 -j ACCEPT
-A FORWARD -i eth0 -o eth3 -j ACCEPT
-A FORWARD -i eth0 -o vboxnet0 -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j Reject
-A FORWARD -j LOG --log-prefix "Shorewall:FORWARD:REJECT:" --log-level 6
-A FORWARD -g reject
-A OUTPUT -o eth2 -j fw2net
-A OUTPUT -o ppp0 -j fw2net
-A OUTPUT -o eth3 -j fw2net
-A OUTPUT -o vboxnet0 -j fw2net
-A OUTPUT -o eth1 -j fw2net
-A OUTPUT -o eth0 -j fw2net
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -j Reject
-A OUTPUT -j LOG --log-prefix "Shorewall:OUTPUT:REJECT:" --log-level 6
-A OUTPUT -g reject
-A Drop
-A Drop -p tcp -m tcp --dport 113 -m comment --comment "Auth" -j reject
-A Drop -j dropBcast
-A Drop -p icmp -m icmp --icmp-type 3/4 -m comment --comment "Needed ICMP types" -j ACCEPT
-A Drop -p icmp -m icmp --icmp-type 11 -m comment --comment "Needed ICMP types" -j ACCEPT
-A Drop -j dropInvalid
-A Drop -p udp -m multiport --dports 135,445 -m comment --comment "SMB" -j DROP
-A Drop -p udp -m udp --dport 137:139 -m comment --comment "SMB" -j DROP
-A Drop -p udp -m udp --sport 137 --dport 1024:65535 -m comment --comment "SMB" -j DROP
-A Drop -p tcp -m multiport --dports 135,139,445 -m comment --comment "SMB" -j DROP
-A Drop -p udp -m udp --dport 1900 -m comment --comment "UPnP" -j DROP
-A Drop -p tcp -j dropNotSyn
-A Drop -p udp -m udp --sport 53 -m comment --comment "Late DNS Replies" -j DROP
-A Ifw -m set --match-set ifw_wl src -j RETURN
-A Ifw -m set --match-set ifw_bl src -j DROP
-A Ifw -m state --state INVALID,NEW -m psd --psd-weight-threshold 10 --psd-delay-threshold 10000 --psd-lo-ports-weight 2 --psd-hi-ports-weight 1 -j IFWLOG --log-prefix "SCAN"
-A Ifw -p udp -m state --state NEW -m udp --dport 67 -j IFWLOG --log-prefix "NEW"
-A Ifw -p udp -m state --state NEW -m udp --dport 68 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 22 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 25 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 3128 -j IFWLOG --log-prefix "NEW"
-A Reject
-A Reject -p tcp -m tcp --dport 113 -m comment --comment "Auth" -j reject
-A Reject -j dropBcast
-A Reject -p icmp -m icmp --icmp-type 3/4 -m comment --comment "Needed ICMP types" -j ACCEPT
-A Reject -p icmp -m icmp --icmp-type 11 -m comment --comment "Needed ICMP types" -j ACCEPT
-A Reject -j dropInvalid
-A Reject -p udp -m multiport --dports 135,445 -m comment --comment "SMB" -j reject
-A Reject -p udp -m udp --dport 137:139 -m comment --comment "SMB" -j reject
-A Reject -p udp -m udp --sport 137 --dport 1024:65535 -m comment --comment "SMB" -j reject
-A Reject -p tcp -m multiport --dports 135,139,445 -m comment --comment "SMB" -j reject
-A Reject -p udp -m udp --dport 1900 -m comment --comment "UPnP" -j DROP
-A Reject -p tcp -j dropNotSyn
-A Reject -p udp -m udp --sport 53 -m comment --comment "Late DNS Replies" -j DROP
-A dropBcast -m addrtype --dst-type BROADCAST -j DROP
-A dropBcast -d 224.0.0.0/4 -j DROP
-A dropInvalid -m conntrack --ctstate INVALID -j DROP
-A dropNotSyn -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
-A fw2net -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A fw2net -j ACCEPT
-A logdrop -j DROP
-A logreject -j reject
-A net2fw -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A net2fw -p udp -m multiport --dports 67,68 -j ACCEPT
-A net2fw -p tcp -m multiport --dports 22,25,26,3128 -j ACCEPT
-A net2fw -j Drop
-A net2fw -j LOG --log-prefix "Shorewall:net2fw:DROP:" --log-level 6
-A net2fw -j DROP
-A reject -m addrtype --src-type BROADCAST -j DROP
-A reject -s 224.0.0.0/4 -j DROP
-A reject -p igmp -j DROP
-A reject -p tcp -j REJECT --reject-with tcp-reset
-A reject -p udp -j REJECT --reject-with icmp-port-unreachable
-A reject -p icmp -j REJECT --reject-with icmp-host-unreachable
-A reject -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Thu Jun  2 14:49:52 2016
---------------------------------------------------------------
ifconfig -a
eth0      Link encap:Ethernet  HWaddr 20:CF:30:6F:1D:EB
          inet addr: vnesh_IP  Bcast: *****  Mask:255.255.255.252
          inet6 addr: *** Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:518530 errors:0 dropped:0 overruns:0 frame:0
          TX packets:330634 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:268453626 (256.0 MiB)  TX bytes:115566217 (110.2 MiB)
          Interrupt:18

eth1      Link encap:Ethernet  HWaddr 20:CF:30:6F:20:12
          inet addr:192.185.0.84  Bcast:192.185.0.255  Mask:255.255.255.0
          inet6 addr: *** Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:646844 errors:0 dropped:40 overruns:0 frame:0
          TX packets:611546 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:111661464 (106.4 MiB)  TX bytes:1234218494 (1.1 GiB)
          Interrupt:19

eth3      Link encap:Ethernet  HWaddr 00:1E:58:9A:21:23
          inet addr:192.185.0.115  Bcast:192.185.0.255  Mask:255.255.255.0
          inet6 addr: *** Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:151730 errors:0 dropped:0 overruns:0 frame:0
          TX packets:403 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:50372794 (48.0 MiB)  TX bytes:36529 (35.6 KiB)
          Interrupt:22

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:259 errors:0 dropped:0 overruns:0 frame:0
          TX packets:259 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:15736 (15.3 KiB)  TX bytes:15736 (15.3 KiB)

vboxnet0  Link encap:Ethernet  HWaddr 0A:00:27:00:00:00
          BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)

----------------------------------------------------------------------
route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
vnesh_IP  0.0.0.0         255.255.255.252 U     1      0        0 eth0
192.185.0.0     0.0.0.0         255.255.255.0   U     3      0        0 eth1
192.185.0.0     0.0.0.0         255.255.255.0   U     5      0        0 eth3
169.254.0.0     0.0.0.0         255.255.0.0     U     1      0        0 eth0
169.254.0.0     0.0.0.0         255.255.0.0     U     3      0        0 eth1
169.254.0.0     0.0.0.0         255.255.0.0     U     5      0        0 eth3
0.0.0.0         vnesh_GOV  0.0.0.0         UG    1      0        0 eth0
0.0.0.0         192.185.0.84    0.0.0.0         UG    3      0        0 eth1

ну и может пригодиться
----------------------------------------------------------------------------------
iptables -S
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT DROP
-N Drop
-N Ifw
-N Reject
-N dropBcast
-N dropInvalid
-N dropNotSyn
-N dynamic
-N fail2ban-SSH
-N fail2ban-dovecot
-N fw2net
-N logdrop
-N logreject
-N net2fw
-N reject
-N shorewall
-A INPUT -p tcp -m multiport --dports 22,80,443,25,465,110,995,143,993,4190 -j fail2ban-dovecot
-A INPUT -s 180.166.46.151/32 -j DROP
-A INPUT -j Ifw
-A INPUT -m conntrack --ctstate INVALID,NEW -j dynamic
-A INPUT -i eth2 -j net2fw
-A INPUT -i ppp0 -j net2fw
-A INPUT -i eth3 -j net2fw
-A INPUT -i vboxnet0 -j net2fw
-A INPUT -i eth1 -j net2fw
-A INPUT -i eth0 -j net2fw
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -j Reject
-A INPUT -j LOG --log-prefix "Shorewall:INPUT:REJECT:" --log-level 6
-A INPUT -g reject
-A FORWARD -m conntrack --ctstate INVALID,NEW -j dynamic
-A FORWARD -i ppp0 -o eth2 -j ACCEPT
-A FORWARD -i ppp0 -o eth3 -j ACCEPT
-A FORWARD -i ppp0 -o vboxnet0 -j ACCEPT
-A FORWARD -i ppp0 -o eth1 -j ACCEPT
-A FORWARD -i ppp0 -o eth0 -j ACCEPT
-A FORWARD -i eth2 -o ppp0 -j ACCEPT
-A FORWARD -i eth2 -o eth3 -j ACCEPT
-A FORWARD -i eth2 -o vboxnet0 -j ACCEPT
-A FORWARD -i eth2 -o eth1 -j ACCEPT
-A FORWARD -i eth2 -o eth0 -j ACCEPT
-A FORWARD -i eth3 -o ppp0 -j ACCEPT
-A FORWARD -i eth3 -o eth2 -j ACCEPT
-A FORWARD -i eth3 -o vboxnet0 -j ACCEPT
-A FORWARD -i eth3 -o eth1 -j ACCEPT
-A FORWARD -i eth3 -o eth0 -j ACCEPT
-A FORWARD -i vboxnet0 -o ppp0 -j ACCEPT
-A FORWARD -i vboxnet0 -o eth2 -j ACCEPT
-A FORWARD -i vboxnet0 -o eth3 -j ACCEPT
-A FORWARD -i vboxnet0 -o eth1 -j ACCEPT
-A FORWARD -i vboxnet0 -o eth0 -j ACCEPT
-A FORWARD -i eth1 -o ppp0 -j ACCEPT
-A FORWARD -i eth1 -o eth2 -j ACCEPT
-A FORWARD -i eth1 -o eth3 -j ACCEPT
-A FORWARD -i eth1 -o vboxnet0 -j ACCEPT
-A FORWARD -i eth1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o ppp0 -j ACCEPT
-A FORWARD -i eth0 -o eth2 -j ACCEPT
-A FORWARD -i eth0 -o eth3 -j ACCEPT
-A FORWARD -i eth0 -o vboxnet0 -j ACCEPT
-A FORWARD -i eth0 -o eth1 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j Reject
-A FORWARD -j LOG --log-prefix "Shorewall:FORWARD:REJECT:" --log-level 6
-A FORWARD -g reject
-A OUTPUT -o eth2 -j fw2net
-A OUTPUT -o ppp0 -j fw2net
-A OUTPUT -o eth3 -j fw2net
-A OUTPUT -o vboxnet0 -j fw2net
-A OUTPUT -o eth1 -j fw2net
-A OUTPUT -o eth0 -j fw2net
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -j Reject
-A OUTPUT -j LOG --log-prefix "Shorewall:OUTPUT:REJECT:" --log-level 6
-A OUTPUT -g reject
-A Drop
-A Drop -p tcp -m tcp --dport 113 -m comment --comment "Auth" -j reject
-A Drop -j dropBcast
-A Drop -p icmp -m icmp --icmp-type 3/4 -m comment --comment "Needed ICMP types" -j ACCEPT
-A Drop -p icmp -m icmp --icmp-type 11 -m comment --comment "Needed ICMP types" -j ACCEPT
-A Drop -j dropInvalid
-A Drop -p udp -m multiport --dports 135,445 -m comment --comment "SMB" -j DROP
-A Drop -p udp -m udp --dport 137:139 -m comment --comment "SMB" -j DROP
-A Drop -p udp -m udp --sport 137 --dport 1024:65535 -m comment --comment "SMB" -j DROP
-A Drop -p tcp -m multiport --dports 135,139,445 -m comment --comment "SMB" -j DROP
-A Drop -p udp -m udp --dport 1900 -m comment --comment "UPnP" -j DROP
-A Drop -p tcp -j dropNotSyn
-A Drop -p udp -m udp --sport 53 -m comment --comment "Late DNS Replies" -j DROP
-A Ifw -m set --match-set ifw_wl src -j RETURN
-A Ifw -m set --match-set ifw_bl src -j DROP
-A Ifw -m state --state INVALID,NEW -m psd --psd-weight-threshold 10 --psd-delay-threshold 10000 --psd-lo-ports-weight 2 --psd-hi-ports-weight 1 -j IFWLOG --log-prefix "SCAN"
-A Ifw -p udp -m state --state NEW -m udp --dport 67 -j IFWLOG --log-prefix "NEW"
-A Ifw -p udp -m state --state NEW -m udp --dport 68 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 22 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 25 -j IFWLOG --log-prefix "NEW"
-A Ifw -p tcp -m state --state NEW -m tcp --dport 3128 -j IFWLOG --log-prefix "NEW"
-A Reject
-A Reject -p tcp -m tcp --dport 113 -m comment --comment "Auth" -j reject
-A Reject -j dropBcast
-A Reject -p icmp -m icmp --icmp-type 3/4 -m comment --comment "Needed ICMP types" -j ACCEPT
-A Reject -p icmp -m icmp --icmp-type 11 -m comment --comment "Needed ICMP types" -j ACCEPT
-A Reject -j dropInvalid
-A Reject -p udp -m multiport --dports 135,445 -m comment --comment "SMB" -j reject
-A Reject -p udp -m udp --dport 137:139 -m comment --comment "SMB" -j reject
-A Reject -p udp -m udp --sport 137 --dport 1024:65535 -m comment --comment "SMB" -j reject
-A Reject -p tcp -m multiport --dports 135,139,445 -m comment --comment "SMB" -j reject
-A Reject -p udp -m udp --dport 1900 -m comment --comment "UPnP" -j DROP
-A Reject -p tcp -j dropNotSyn
-A Reject -p udp -m udp --sport 53 -m comment --comment "Late DNS Replies" -j DROP
-A dropBcast -m addrtype --dst-type BROADCAST -j DROP
-A dropBcast -d 224.0.0.0/4 -j DROP
-A dropInvalid -m conntrack --ctstate INVALID -j DROP
-A dropNotSyn -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
-A fail2ban-SSH -j RETURN
-A fail2ban-dovecot -j RETURN
-A fw2net -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A fw2net -j ACCEPT
-A logdrop -j DROP
-A logreject -j reject
-A net2fw -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A net2fw -p udp -m multiport --dports 67,68 -j ACCEPT
-A net2fw -p tcp -m multiport --dports 22,25,26,3128 -j ACCEPT
-A net2fw -j Drop
-A net2fw -j LOG --log-prefix "Shorewall:net2fw:DROP:" --log-level 6
-A net2fw -j DROP
-A reject -m addrtype --src-type BROADCAST -j DROP
-A reject -s 224.0.0.0/4 -j DROP
-A reject -p igmp -j DROP
-A reject -p tcp -j REJECT --reject-with tcp-reset
-A reject -p udp -j REJECT --reject-with icmp-port-unreachable
-A reject -p icmp -j REJECT --reject-with icmp-host-unreachable
-A reject -j REJECT --reject-with icmp-host-prohibited


подскажите куда копать?