Docker

qvp · 25.08.2024

Друзья, есть ли возможность блокировки ip маски по iptables? И как это сделать, сервер ubuntu

Joow · 25.08.2024

по iptables можно блокировать диапазон ip адресов, ипользуй CIDR. Примерно ты хочешь блокировать ip адреса деапазона 192.168.1.0/24 это диапазон 192.168.1.0 до 192.168.1.255

Bash:

sudo iptables -A INPUT -s 192.168.1.0/24 -j DROP

с IPv6 команда аналогичная. Если тебе нужно чтобы изменения каторые ты внес сохранились используй команду

Bash:

sudo iptables-save > /etc/iptables/rules.v4
sudo ip6tables-save > /etc/iptables/rules.v6

qvp · 25.08.2024

Joow сказал(а):
по iptables можно блокировать диапазон ip адресов, ипользуй CIDR. Примерно ты хочешь блокировать ip адреса деапазона 192.168.1.0/24 это диапазон 192.168.1.0 до 192.168.1.255
Bash:
sudo iptables -A INPUT -s 192.168.1.0/24 -j DROP
с IPv6 команда аналогичная. Если тебе нужно чтобы изменения каторые ты внес сохранились используй команду
Bash:
sudo iptables-save > /etc/iptables/rules.v4
sudo ip6tables-save > /etc/iptables/rules.v6

Да, но мне нужно блокировать Docker

Joow · 26.08.2024

qvp сказал(а):

Да, но мне нужно блокировать Docker

Может так получиться, контейнеры используют ip-диапазон 127.17.0.0/16. Нужно определить, какие ip используются Docker.
Попробуй эту команду

Bash:

docker network inspect bridge

ты увидишь информацию о сети Docker. Посмотри параметр Subnet, чтобы определить ip диапазон. Потом используй iptables.

Bash:

sudo iptables -A INPUT -s 172.17.0.0/16 -j DROP

Если тебе нужно блокировать Docker на уровне его сети, попробуй эту команду

Bash:

sudo iptables -I FORWARD -i docker0 -o docker0 -j DROP

Блокируй все входящие соединения в Docker

Bash:

sudo iptables -I DOCKER-USER -i eth0 -o docker0 -j DROP

qvp · 26.08.2024

Joow сказал(а):
Может так получиться, контейнеры используют ip-диапазон 127.17.0.0/16. Нужно определить, какие ip используются Docker.
Попробуй эту команду
Bash:
docker network inspect bridge
ты увидишь информацию о сети Docker. Посмотри параметр Subnet, чтобы определить ip диапазон. Потом используй iptables.
Bash:
sudo iptables -A INPUT -s 172.17.0.0/16 -j DROP
Если тебе нужно блокировать Docker на уровне его сети, попробуй эту команду
Bash:
sudo iptables -I FORWARD -i docker0 -o docker0 -j DROP
Блокируй все входящие соединения в Docker
Bash:
sudo iptables -I DOCKER-USER -i eth0 -o docker0 -j DROP

docker network inspect bridge "Subnet" я увидел. Теперь мне нужно блокировать ip входящих. Т.е те ip которые я хочу блокировать, как мне это прописывать?

Web3Dev · 26.08.2024

create a custom chain to handle your rules, and then hook it into the Docker chain

Bash:

sudo iptables -N CUSTOM-DOCKER
sudo iptables -I DOCKER-USER -j CUSTOM-DOCKER

add your blocking rule to this custom chain

Bash:

sudo iptables -A CUSTOM-DOCKER -s 192.168.0.0/24 -j DROP

if Docker's rules interfere with your custom rules then you can disable Docker's automatic iptables modifications by editing the Docker daemon

Bash:

sudo nano /etc/docker/daemon.json

Bash:

{
  "iptables": false
}

Bash:

sudo systemctl restart docker

qvp · 26.08.2024

Web3Dev сказал(а):
create a custom chain to handle your rules, and then hook it into the Docker chain
Bash:
sudo iptables -N CUSTOM-DOCKER
sudo iptables -I DOCKER-USER -j CUSTOM-DOCKER
add your blocking rule to this custom chain
Bash:
sudo iptables -A CUSTOM-DOCKER -s 192.168.0.0/24 -j DROP
if Docker's rules interfere with your custom rules then you can disable Docker's automatic iptables modifications by editing the Docker daemon
Bash:
sudo nano /etc/docker/daemon.json
Bash:
{
  "iptables": false
}
Bash:
sudo systemctl restart docker

Спасибо, это работает. А нельзя ли для удобства использовать здесь ipset?

Joow · 26.08.2024

qvp сказал(а):

docker network inspect bridge "Subnet" я увидел. Теперь мне нужно блокировать ip входящих. Т.е те ip которые я хочу блокировать, как мне это прописывать?

Решился у тебя вопрос? только сейчас увидел твой текст

qvp · 26.08.2024

Joow сказал(а):

Решился у тебя вопрос? только сейчас увидел твой текст

Да, вопрос решился, спасибо. Я думаю есть ли воpможность это решить через ipset

Joow · 26.08.2024

qvp сказал(а):

Да, вопрос решился, спасибо. Я думаю есть ли воpможность это решить через ipset

Попробуй так, новый набор для хранения ip, которые хочешь блокировать, примерно назовие его blocked_ips

Bash:

sudo ipset create blocked_ips hash:ip

Тепер добавь определенный ip который ты хочешь блокировать. примерно, если это ip 203.0.113.50, так

Bash:

sudo ipset add blocked_ips 203.0.113.50

Даже ты используешь ipset, всеровно нужно создать правило в iptables, чтобы блокировать трафик от ip набора.

Bash:

sudo iptables -I INPUT -m set --match-set blocked_ips src -j DROP

qvp · 26.08.2024

Joow сказал(а):
Попробуй так, новый набор для хранения ip, которые хочешь блокировать, примерно назовие его blocked_ips
Bash:
sudo ipset create blocked_ips hash:ip
Тепер добавь определенный ip который ты хочешь блокировать. примерно, если это ip 203.0.113.50, так
Bash:
sudo ipset add blocked_ips 203.0.113.50
Даже ты используешь ipset, всеровно нужно создать правило в iptables, чтобы блокировать трафик от ip набора.
Bash:
sudo iptables -I INPUT -m set --match-set blocked_ips src -j DROP

нет, это я не решил вопрос. вопрос решил предложением от

Web3Dev

Joow · 26.08.2024

последняя мысль ) создай набор для ip, которые ты хочешь блокировать

Bash:

sudo ipset create blocked_ips hash:ip

если нужно блокировать целую подсеть , то набор типа hash:net:

Bash:

sudo ipset create blocked_subnets hash:net

блокируем конкретный ip

Bash:

sudo ipset add blocked_ips 192.168.0.10

для бокировки целой подсети

Bash:

sudo ipset add blocked_subnets 192.168.0.0/24

Применение правил в iptables , создай цепочку, аналогичную CUSTOM-DOCKER

Bash:

sudo iptables -N CUSTOM-DOCKER

трафик на эту цепочку

Bash:

sudo iptables -I DOCKER-USER -j CUSTOM-DOCKER

для блокировки конкретных ip

Bash:

sudo iptables -A CUSTOM-DOCKER -m set --match-set blocked_ips src -j DROP

блокировка целых подсетей

Bash:

sudo iptables -A CUSTOM-DOCKER -m set --match-set blocked_subnets src -j DROP

открываем файл конфигурации docker

Bash:

sudo nano /etc/docker/daemon.json

добовь строку

Bash:

{
  "iptables": false
}

Сохрани изменения и перезапусти docker

Bash:

sudo systemctl restart docker

Web3Dev · 27.08.2024

qvp сказал(а):

No, I didn't solve the problem. The problem was solved by the proposal from

Web3Dev

Thank you for the mention.

qvp · 27.08.2024

Joow сказал(а):
последняя мысль ) создай набор для ip, которые ты хочешь блокировать
Bash:
sudo ipset create blocked_ips hash:ip
если нужно блокировать целую подсеть , то набор типа hash:net:
Bash:
sudo ipset create blocked_subnets hash:net
блокируем конкретный ip
Bash:
sudo ipset add blocked_ips 192.168.0.10
для бокировки целой подсети
Bash:
sudo ipset add blocked_subnets 192.168.0.0/24
Применение правил в iptables , создай цепочку, аналогичную CUSTOM-DOCKER
Bash:
sudo iptables -N CUSTOM-DOCKER
трафик на эту цепочку
Bash:
sudo iptables -I DOCKER-USER -j CUSTOM-DOCKER
для блокировки конкретных ip
Bash:
sudo iptables -A CUSTOM-DOCKER -m set --match-set blocked_ips src -j DROP
блокировка целых подсетей
Bash:
sudo iptables -A CUSTOM-DOCKER -m set --match-set blocked_subnets src -j DROP
открываем файл конфигурации docker
Bash:
sudo nano /etc/docker/daemon.json
добовь строку
Bash:
{
  "iptables": false
}
Сохрани изменения и перезапусти docker
Bash:
sudo systemctl restart docker

Спасибо друзья, всё сработало

qvp · 27.08.2024

ещё такая проблема, добавляю в блэк 172.16.0.0/12 но после этого сам не могу войти на сайт, хотя это далеко не мой ip, в чем может быть проблема?

Web3Dev · 27.08.2024

Blocking the 172.16.0.0/12 IP range might be affecting your access to the site because this range includes a large number of IP addresses.
check for these
Overlapping IP ranges
Private Network Overlaps
Ensure that your server's internal or external IP does not overlap with the blocked range. You can check your server's IP address and any active docker or internal network configurations using the following commands:

Bash:

ip a

ceck for docker net config avoid these " use this <>

Bash:

docker network ls
docker network inspect "network_name"

If docker is running on your server, it's likely that it uses the 172.16.0.0/12 range for its internal network by default. Blocking this range could cause docker containers to lose connectivity. You can either modify Docker's IP range or adjust your iptables rules to exclude the specific range Docker is using.

solution :
Modify or Remove the Block

Bash:

sudo iptables -D INPUT -s 172.16.0.0/12 -j DROP

Narrow down the range
you need to block a specific subset of the 172.16.0.0/12 range, use a more specific CIDR notation
Exclude Specific IPs/Subnets

Bash:

sudo iptables -I INPUT -s 172.17.0.0/16 -j ACCEPT

Then re-add your broader block

Код:

sudo iptables -A INPUT -s 172.16.0.0/12 -j DROP

This way traffic from 172.17.0.0/16 would be allowed even if you block the broader 172.16.0.0/12 range.

Web3Dev · 27.08.2024

now if you tell me this doesn't work then i have to do it myself,. still lmk if this shows any error

Web3Dev · 27.08.2024

inew on the forum and not that much active here but my tg

qvp · 27.08.2024

Web3Dev сказал(а):

Я новичок на форуме и не очень активен здесь, но мой тг

Это все на докер

qvp · 27.08.2024

открываем файл конфигурации docker
Bash:Скопировать в буфер обмена
sudo nano /etc/docker/daemon.json
добовь строку
Bash:Скопировать в буфер обмена
{
"iptables": false
}
Сохрани изменения и перезапусти docker
Bash:Скопировать в буфер обмена
sudo systemctl restart docker
Эта команда что даёт?

Docker

(L1) cache

HDD-drive

(L1) cache

HDD-drive

(L1) cache

ripper

(L1) cache

HDD-drive

(L1) cache

HDD-drive

(L1) cache

Web3Dev​

HDD-drive

ripper

Web3Dev​

(L1) cache

(L1) cache

ripper

ripper

ripper

(L1) cache

(L1) cache

Web3Dev

Web3Dev