Как создать whitelist на iptables если я использую cloudflare?

Question

[santared]

Всем привет. Хочу сделать вайтлист на уровне iptables, но сайт под cloudflare.
Debian, nginx.

Вроде получается заблокировать пользователя, но вот сделать вайтлист никак.

>iptables -F
>iptables -X
>iptables -A INPUT -p tcp --dport 80 -m string --string "CF-Connecting-IP: 1.1.1.1" --algo bm -j DROP
// банит только 1.1.1.1

а если делать вайт

>iptables -F
>iptables -X
>iptables -A INPUT -p tcp --dport 80 -j DROP
>iptables -A INPUT -p tcp --dport 80 -m string --string "CF-Connecting-IP: 1.1.1.1" --algo bm -j ACCEPT
//банит всех, пробовал в разном порядке указывать, порты/ипы

Подскажите в чем проблема или есть решения проще? бан нужен на уровне сервере только для порта :80

Answer 1

[Рональд Макдональд]

Ну так правильно, у вас правило "блокировать всё на 80 порту" раньше остальных, а они выполняются по порядку, поэтому следующие правила даже не проверяются.

Comments

[santared]

>iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string 'CF-Connecting-IP: 1.1.1.1' -j ACCEPT
>iptables -A INPUT -p tcp --dport 80 -j DROP

пробовал в оба порядка.
результат один

spoiler

Chain INPUT (policy ACCEPT 39 packets, 3281 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 STRING match "X-Forwarded-For: 1.1.1.1" ALGO name bm TO 65535
2 42 6862 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80

Answer 2

[Денис Сечин]

Вдумайтесь, вам нужно настроить IPtables по следующему принципу: все что не разрешено запрещено!

Comments

[santared]

>iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string 'CF-Connecting-IP: 1.1.1.1' -j ACCEPT
>iptables -A INPUT -p tcp --dport 80 -j DROP

пробовал в оба порядка.
результат один

spoiler

Chain INPUT (policy ACCEPT 39 packets, 3281 bytes)
num pkts bytes target prot opt in out source destination
1 0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 STRING match "X-Forwarded-For: 1.1.1.1" ALGO name bm TO 65535
2 42 6862 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80

[Денис Сечин]

Можно вывод iptables -nvL INPUT
Некоторые хостеры у себя в панельке позволяют крутить правила iptables проверьте чтобы их небыло

Answer 3

[Alexey Dmitriev]

Ключ -A добавляет правило в конец цепочки, ключ -I в начало. Оперируйте ими, чтобы добавить правило в правильное место. Если пакет подпадает под первое правило, остальными он уже не обрабатывается. Для просмотра правил используйте iptables -nL

Comments

[santared]

пробовал оба порядка.