Как ограничить доступ по IP к wp-login.php на сервере через iptables?

Question

[Rokis]

Здравствуйте.

Ограничиваю доступ к wordpress через nginx:

location /wp-login.php {
allow 111.111.111.11;
allow 22.222.222.222;
deny all;
 location ~ \.php$ {
fastcgi_pass unix:/run/php/php7.0-fpm.sock;
include snippets/fastcgi-php.conf;
} }

Как сделать тоже самое через iptables? (если конечно это возможно вообще)

Answer 1

[Валентин]

Ограничивать доступ к конкретному урлу - не работа iptables, у него нет такого функционала, надеюсь, и не будет. Iptables хорошо делает l4 фильтрацию, ему другого не надо. Но если прямо-таки сильно хочется ограничить доступ к директории именно через него, выносите админку на отдельный IP/port (например в конфиге nginx через прокси) и фильтруйте этот ip/port.

Как вариант dpi, но фильтровать урл на веб сервере через эту технологию что из пушки по воробьям.

www.ntop.org/products/deep-packet-inspection/ndpi

Comments

[Rokis]

А на каком уровне лучше всего ставить это ограничение? На nginx оставить? Я подумал, что iptables фильтрует запросы до nginx и он будет эффективней в плане экономии ресурсов. Поэтому и задал данный вопрос.

[Валентин]

Rokis: действительно, он обрабатывает ПАКЕТЫ до nginx, но делает это вплоть до 4-го уровня OSI. Он не заглядывает в содержимое этих пакетов дальше заголовков TCP/UDP/ICMP. С моей точки зрения фильтрации на уровне nginx для таких целей весьма достаточно.

[Rokis]

Спасибо, что объяснили. Теперь мне стало понятно. Оставлю всё как есть, а если захочется экзотики, то воспользуюсь Вашим советом с админкой на отдельном порту.

Answer 2

[Пума Тайланд]

надо поставить расширенные модули айпитаблеса которые умеют разбирать пакеты на высоком уровне оси и там уже открывать и запрещать доступ

Comments

[Rokis]

Какие например подойдут для данной задачи? Я вообще себе логику даже очень плохо представляю подобных блокировок в firewall.

В iptables я представлял блокировку, что-то типа:

iptables -A INPUT -p tcp -s 11.11.111.11 -m multiport --dports 80 string --string 'POST /wp-login.php' -j ACCEPT

и

iptables -A INPUT -p tcp -m multiport --dports 80 string --string 'POST /wp-login.php' -j DROP

Но а если там не POST, а GET... Или другой ещё какой-нибудь, то это не поможет.

[Пума Тайланд]

Rokis: в икстаблес наверняка есть модуль