Как запретить сканить порты пользователям сети за роутером?

Question

[miruss]

Подскажите пожалуйста, есть маршрутизатор на Debian, можно запретить как то через фаервол или другими средствами, чтобы юзеры не сканили порты белых ip?

Comments

[Сергей Петриков]

Не сканили порты своего сервера или других?

[miruss]

чтобы не сканили других.

Answer 1

[Илья Гром]

Нет.

Можете защитить от прощупывания конкретную машину:

iptables -A INPUT -p icmp --icmp-type timestamp-request -j DROP
iptables -L -v -n

Есть ещё статья на Хабре.

Answer 2

[throughtheether]

В общем случае, нет. Вы можете, конечно, блокировать SYN-сегменты при обнаружении признаков сканирования (линейно возрастающий номер порта назначения, например), но пользователь может начать сканировать порты в случайном или псевдослучайном порядке. Вы можете заблокировать SYN-сегменты совсем, но тогда TCP работать не будет.
Кроме того, немного непонятно, чего вы хотите добиться. Какая вам разница, сканирует кого-то пользователь или нет? Если он занимается нелегальной активностью - это дело органов внутренних дел. Если проблема в "письмах счастья" ("вы нас сканируете, прекратите") - в большинстве случаев это автоматические сгенерированные различными IDS письма, смысла в них немного. В крайнем случае вы можете блокировать наиболее активных "нарушителей".
В моем представлении, если кому-то не нравится, что его сканируют, ему же гораздо проще технически самому защитить свой сервер. Хотя я считаю это одним из проявлений подхода "security through obscurity". Если вы (или условный провайдер) начнете пытаться фильтровать такой трафик, это будет или неэффективно, или обладать негативными побочными эффектами.
Вы можете, и это настоятельно рекомендуется, фильтровать трафик с целью запретить спуфинг, т.е. подделку адресов источника, это гораздо проще и гораздо полезнее.

Comments

[miruss]

я выразился наверное не точно в вопросе, я имею ввиду, когда берут пачку ипов и сканируют их на порт 22, или на порт 3389, для дальнейшего брута. порт я закрыть не могу, но можно наверное порезать через connlimit?

[throughtheether]

Я не вполне владею нюансами сетевой подсистемы Linux, но думаю, что да, если вы хотите ограничить "адресное" (в смысле какого-то конкретного набора сервисов, а, следовательно, и значений портов) сканирование, то сможете. Но будьте готовы к побочным эффектам (например, при обработке p2p-трафика) и укажите завышенные пороги для минимизации этих эффектов (например, чтобы пользователь, попытавшийся открыть 10 ssh-сессий, смог это сделать, хотя такое поведение характерно для далеко не каждого пользователя).