>[оверквотинг удален]
>
>Все эти ip/mask складываю в файлик. Кол-во строк получается ок. 1000... (Так
>мало - потому, что я для некоторых "бразильских" и т.п. сетей
>сразу ввожу правило с маской /8. Напр.: 189.0.0.0/8)
>
>
>Потом напускаю на этот файлик iptables:
>for i in `cat <file>`;do iptables -I... 10 .... -s $i --dport 25 -j REJECT;done
>
>Вот у меня вопросы: Насколько такое решение "нормальное" - блокировать целые сети? Не загнется ли iptables при кол-ве правил > 5000?Загнется, однозначно :) Тогда уж лучше юзать iptables-{save|restore} :) Сетки добавлять в bl, это скажем так, немного сурово :) Я некоторое время назад юзал для этих целей ipset и "скармливал" ему ip адреса спамеров, которые получал парсером maillog. ipset работает в kernel-space, поэтому если в нем содержатся программные ошибки, то это очень плохо может сказаться на системе в целом. Если интересно, вот мой старый пост: http://www.opennet.me/openforum/vsluhforumID1/79530.html. Сейчас у меня стоит фильтрующий мост между почтовый сервером и его гейтом, на котором я фильтрую спамеров по ip адресам через iplist (user-space) (http://sourceforge.net/projects/iplist).
#Bridge UP
/sbin/brctl addbr br0
/sbin/brctl addif br0 eth0
/sbin/brctl addif br0 eth1
/sbin/ifconfig eth0 0.0.0.0
/sbin/ifconfig eth1 0.0.0.0
/sbin/ifconfig br0 x.x.x.248 netmask 255.255.255.240 broadcast x.x.x.255
/sbin/route add default gw x.x.x.241 dev br0
Конфигурация сервера:
uname -a
Linux s03 2.6.20.21-smp #3 SMP Wed Apr 16 16:24:27 VLAST 2008 i686 Pentium II (Deschutes) GenuineIntel GNU/Linux
cat /proc/cpuinfo
processor : 0
vendor_id : GenuineIntel
cpu family : 6
model : 5
model name : Pentium II (Deschutes)
stepping : 2
cpu MHz : 397.353
cache size : 512 KB
fdiv_bug : no
hlt_bug : no
f00f_bug : no
coma_bug : no
fpu : yes
fpu_exception : yes
cpuid level : 2
wp : yes
flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 mmx fxsr
bogomips : 795.45
clflush size : 32
processor : 1
vendor_id : GenuineIntel
cpu family : 6
model : 5
model name : Pentium II (Deschutes)
stepping : 2
cpu MHz : 397.353
cache size : 512 KB
fdiv_bug : no
hlt_bug : no
f00f_bug : no
coma_bug : no
fpu : yes
fpu_exception : yes
cpuid level : 2
wp : yes
flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 mmx fxsr
bogomips : 794.75
clflush size : 32
lspci | grep Ethernet
00:0f.0 Ethernet controller: Intel Corporation 82557/8/9 Ethernet Pro 100 (rev 05)
00:10.0 Ethernet controller: Realtek Semiconductor Co., Ltd. RTL-8169 Gigabit Ethernet (rev 10)
free -m
total used free shared buffers cached
Mem: 883 875 8 0 121 222
-/+ buffers/cache: 530 352
Swap: 1458 5 1453
В блек листе сейчас 6.950.831 ip адресов спамеров. Бывает в сутки прибавляется по 100.000 адресов. Учитывая что количество ящиков 20.000, это не удивительно..Работает все это без сбоев, проблем не замечено.
Вариант для распечатки
OpenNET: Виртуальная конференция (Public)
(ok) on 31-Май-08, 05:38 
