Как ограничить исходящие запросы от определенного пользователя или IP на Ubuntu 16.04.4?

Question

[sarapulov_k]

Здравствуйте!

Возникла проблема на сервере. На одном из сайтов(какой не известно) появился вирус, и этот вирус использует ресурсы сервера. На сервер поступила жалоба (а конкретно на определенный IP). Если проблему не решить, то ближайшие 24 часа IP на сервере заблокируют.

Каким образом я могу заблокировать исходящие соединения с определенного IP адреса или пользователя?

Пробовал использовать службу ufw, но это не помогло

sudo ufw deny from 123.456.789.123

Answer 1

[Дмитрий]

На "голом" iptables (и соответственно, в любом дистрибутиве Linux) задачу можно решить так:

modprobe nf_conntrack
iptables -A OUTPUT -s ip_сервера -m state --state established,related -j ACCEPT
iptables -A OUTPUT -s ip_сервера -m state --state new,invalid -j DROP

Первая команда подгружает модуль iptables, позволяющий отслеживающий состояние tcp-сосединений.
Вторая разрешает исходящий трафик от сервера для ранее установленных соединений, находящихся в таблице conntrack.
Третья отбрасывает пакеты, относящиеся к соединениям, инициируемым самим сервером.
Т.е. входящие соединения сервер продолжит принимать и отвечать на них, но лишится возможности устанавливать соединения сам.

Для верности после них еще можно дать команду очистки установленных соединений (пакет conntrack может быть не установлен по умолчанию)
conntrack -F
Но лучше конечно разобраться непосредственно с причиной появления трафика, нежели пытаться его блокировать.

Comments

[Zzzz9]

Зачем ему это?

[Дмитрий]

Zzzz9, я понял вопрос так, что нужно заблокировать весь исходящий трафик с собственного сервера с известным ip. Вопрос сформулирован не вполне однозначно.

[Zzzz9]

Честно сказать, я тоже вопрос не понял.

[sarapulov_k]

dtmse, прошу прощения за неоднозначный вопрос, во время написания все было логичным :)
Заблокировать нужно именно исходящие запросы с сервера с определенного адреса(много сайтов, много IP)

Спасибо за решение Zzzz9 , помогло.

Теперь с отсутствием плохого влияния самого вируса, будем искать и удалять сам вирус

Answer 2

[Zzzz9]

Хочешь запретить входящие пакеты на свой сервер, с определенного IP адреса? Правильно понял вопрос.