https://www.opennet.ru/openforum/vsluhforumID3/42837.html Список IP адресов или подсетей находится в файле /etc/block1.txt<br>Например:<br> 10.10.1.1<br> 10.10.1.2<br> 192.168.0.0/16<br><br><br>IPFW<br>----<br><br>Блок чтения IP в таблицу, проверка в которой будет осуществляться <br>не через последовательный перебор правил, а через выборки из хэша:<br> <br> ipfw table 1 flush<br> cat /etc/block1.txt &#124; while read ip; do<br> # echo ipfw table 1 add $ip 1<br> ipfw table 1 add $ip 1<br> done<br><br>Привязка таблицы к правилу блокировки:<br> ipfw add 100 deny ip from "table(1)" to any via em1<br><br>Просмотр содержимого таблицы:<br> ipfw table 1 list<br><br>PF<br>--<br><br>/etc/pf.conf<br><br> table &lt;blockedips&gt; persist file "/etc/block1.txt"<br> ext_if="em1" <br> block drop in log (all) quick on $ext_if from &lt;blockedips&gt; to any<br><br>Проверка корректности правил PF:<br> pfctl -nf /etc/pf.conf<br><br>Чтение правил PF:<br> pfctl -f /etc/pf.conf<br><br>Добавление и удаление адресов из таблицы на лету:<br> pfctl -t blockedips -T add 192.168.1.1<br> pfctl -t blockedips -T delete 192.168.1.1<br><br>Просмотр содержимого https://www.opennet.ru/openforum/vsluhforumID3/42837.html#10 Thu, 14 Aug 2008 12:31:27 GMT А как можно задать таблицу с кучей подсетей в iptables? Для каждой подсети своё правило?<br> https://www.opennet.ru/openforum/vsluhforumID3/42837.html#9 Tue, 22 Jul 2008 18:36:52 GMT А я делаю так (комментарии для тех, кому надо будет разбираться без меня):<br><br>${fwcmd} /dev/stdin &lt;&lt;_END_OF_RULESET_<br><br># Разрешить общение через LoopBack (внутренний интерфейс) с любыми IP-номерами<br>add 100 pass all from any to any via lo0<br><br># Запретить использование "127.*.*.*" как sourece и как destignation.<br># Т.к. выше было разрешено общение через LoopBack, этот запрет фактически относится только ко внешним интерфейсам (к реальным сетевым картам, DialUp/VPN-соединениям и т.п.).<br>add 200 deny all from any to 127.0.0.0/8<br>add 210 deny all from 127.0.0.0/8 to any<br><br>...<br><br># Очистить таблицу.<br>table 1 flush<br><br># Создать таблицу для доступа наружу по тому же списку, что и Web-доступ:<br>#взять программой awk файл /etc/block1.txt;<br>#убрать из него комментарии: sub(/[;#].*/,"",$0);<br>#если первый аргумент похож на IP-номер (цифры, разделённые точками)<br>#то преобразовать его в команду "добавить в первую таблицу";<br>#всё это попадает в контекст выполнения, т.к. заключено в ``.<br>`awk '{ sub(/[;#].*/,"",$0); if https://www.opennet.ru/openforum/vsluhforumID3/42837.html#8 Tue, 22 Jul 2008 18:35:34 GMT ${fwcmd} /dev/stdin &lt;&lt;_END_OF_RULESET_<br><br># Разрешить общение через LoopBack (внутренний интерфейс) с любыми IP-номерами<br>add 100 pass all from any to any via lo0<br><br># Запретить использование "127.*.*.*" как sourece и как destignation.<br># Т.к. выше было разрешено общение через LoopBack, этот запрет фактически относится только ко внешним интерфейсам (к реальным сетевым картам, DialUp/VPN-соединениям и т.п.).<br>add 200 deny all from any to 127.0.0.0/8<br>add 210 deny all from 127.0.0.0/8 to any<br><br>...<br><br># Очистить таблицу.<br>table 1 flush<br><br># Создать таблицу для доступа наружу по тому же списку, что и Web-доступ:<br>#взять программой awk файл /etc/block1.txt;<br>#убрать из него комментарии: sub(/[;#].*/,"",$0);<br>#если первый аргумент похож на IP-номер (цифры, разделённые точками)<br>#то преобразовать его в команду "добавить в первую таблицу";<br>#всё это попадает в контекст выполнения, т.к. заключено в ``.<br>`awk '{ sub(/[;#].*/,"",$0); if ( $1 ~ /[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+/ ) print "table 1 add " $1 }' /etc/blo https://www.opennet.ru/openforum/vsluhforumID3/42837.html#7 Thu, 17 Jul 2008 12:26:18 GMT а есть еще и такая тема в pf, очень удобно:<br><br>block quick from &lt;badHosts&gt;<br><br>pass in log quick on em0 proto tcp from any to &lt;myIN&gt; port 443 flags S/SA keep state \<br> (source-track rule, max-src-conn-rate 100/10, overload &lt;badHosts&gt; flush global)<br><br>---man pf.conf---<br> max-src-conn-rate &lt;number&gt; / &lt;seconds&gt;<br> Limit the rate of new connections over a time interval. The con-<br> nection rate is an approximation calculated as a moving average.<br><br><br> https://www.opennet.ru/openforum/vsluhforumID3/42837.html#6 Sun, 13 Jul 2008 22:10:44 GMT Молодец!<br>Хорошо но не отлично - можно обойтись без временных файлов:<br>echo "table 1 list" &#124; ipfw /dev/stdin<br> https://www.opennet.ru/openforum/vsluhforumID3/42837.html#5 Sun, 13 Jul 2008 07:24:26 GMT Быстрее создать временный файл и один раз вызвать /sbin/ipfw на 1000 адресов, чем 1000 раз вызывать /sbin/ipfw для каждого адреса. Ну почти в 1000 раз быстрее ;)<br><br># Создаем временный файл /tmp/block1.txt на основе /etc/block1.txt<br>echo "table 1 flush" &gt; /tmp/block1.txt<br>cat /etc/block1.txt &#124; awk '{print "table 1 add",$1}' &gt;&gt; /tmp/block1.txt<br><br># Проверяем правильность и тогда применяем правила из файла<br>/sbin/ipfw -qn /tmp/block1.txt && /sbin/ipfw -q /tmp/block1.txt<br><br># Удаляем временный файл<br>rm -f /tmp/block1.txt<br> https://www.opennet.ru/openforum/vsluhforumID3/42837.html#4 Sat, 12 Jul 2008 19:05:03 GMT to mummy:<br>если список ip не только для ipfw используецца? то зачем плодить "table 1 add "<br> https://www.opennet.ru/openforum/vsluhforumID3/42837.html#2 Fri, 11 Jul 2008 14:41:45 GMT Брехня, быстрее так - создаём файл /tmp/block1.txt<br>table 1 add 10.10.1.1<br>table 1 add 10.10.1.2<br>table 1 add 192.168.0.0/16<br><br>Затем сначала делается проверка синтаксиса, если правилно, то применяется<br>/sbin/ipfw -qn /tmp/block1.txt && /sbin/ipfw -q /tmp/block1.txt<br> https://www.opennet.ru/openforum/vsluhforumID3/42837.html#1 Fri, 11 Jul 2008 12:29:37 GMT cat /etc/block1.txt &#124; xargs -n 1 ipfw table 1 add<br>