IP-Adressbereich sperren

[koloth]

Heute nacht hat jemand versucht, meine NAS-Box, auf der mein FTP-Server läuft, zu hacken.
Nun würde ich gerne den IP-Adressbereich, aus dem "der Angreifer" kam, sperren.

Die IP-Abfrage (221.132.64.8) ergab Folgendes:

% [whois.apnic.net node-1]
% Whois data copyright terms http://www.apnic.net/db/dbcopyright.html

inetnum: 221.132.64.0 - 221.132.95.255
netname: VAAN
descr: NexG
descr: 5F SeoulAcademy B/D, 967-6 Daechi-Dong, Gangnam-Gu, 135-280
descr: ************************************************
descr: Allocated to KRNIC Member.
descr: If you would like to find assignment
descr: information in detail please refer to
descr: the KRNIC Whois Database at:
descr: "http://whois.nic.or.kr/english/index.html"
descr: ************************************************
country: KR
status: ALLOCATED PORTABLE
admin-c: SL1625-AP
tech-c: SL1625-AP
remarks: www.nexg.net
mnt-by: MNT-KRNIC-AP
mnt-lower: MNT-KRNIC-AP
changed: hm-changed@apnic.net 20050114
source: APNIC

person: Sanguk Lee
nic-hdl: SL1625-AP
e-mail: ip@nexg.net
address: 5F SeoulAcademy B/D, 967-6 Daechi-Dong, Gangnam-Gu, 135-280
phone: +82-2-538-7060
fax-no: +82-2-571-8998
country: KR
changed: hostmaster@nida.or.kr 20050105
mnt-by: MNT-KRNIC-AP
source: APNIC

inetnum: 221.132.64.0 - 221.132.95.255
netname: VAAN-KR
descr: NexG
country: KR
admin-c: LS151-KR
tech-c: LS151-KR
status: ALLOCATED PORTABLE
mnt-by: MNT-KRNIC-AP
remarks: This information has been partially mirrored by APNIC from
remarks: KRNIC. To obtain more specific information, please use the
remarks: KRNIC whois server at whois.krnic.net.
changed: hostmaster@nic.or.kr
source: KRNIC

person: Lee SangUk
address: Daechi-dong, Gangnam-gu
address: 5F, SeoulAcademy B/D, 967-6
country: KR
phone: +82-2-538-7060
e-mail: ip@nexg.net
nic-hdl: LS151-KR
mnt-by: MNT-KRNIC-AP
changed: hostmaster@nic.or.kr
source: KRNIC

Das sollte ein Adressbereich mit 8192 IPs sein, entsprechend einer Netzmaske 255.255.224.0



Wenn ich auf dieser Seite (http://whois.nic.or.kr/english/index.html) die IP 221.132.64.8 abfrage, bekomme ich als Ergebnis

KRNIC is not an ISP but a National Internet Registry similar to APNIC.
The following is organization information that is using the IPv4 address.

IPv4 Address       : 221.132.64.0-221.132.64.127
Network Name       : VAAN-AMS-SEOUL
Connect ISP Name   : VAAN
Connect Date       : 20050131
Registration Date  : 20050504
Publishes          : Y

[ Organization Information ]
Organization ID    : ORG103669
Org Name           : Aju Media Solutions 
Address            : Gil2-dong, Gangdong-gu, Seoul
Detail Address     : 335-5KT&G Bldg. 3Fl.
Zip Code           : 134-012

[ Technical Contact Information ]
Name               : Lee SeungHyun
Org Name           : Aju Media Solutions
Address            : Gil2-dong, Gangdong-gu, Seoul
Detail Address     : 335-5KT&G Bldg. 3Fl.
Zip Code           : 134-012
Phone              : +82-2-471-4952
E-Mail             : tmdgusdl@ams.co.kr

Dieser IP-Bereich müsste einer Netzmaske von 255.255.255.192 entsprechen.



Welchen Bereich sollte ich jetzt sperren?
Den mit 8192 IPs oder den kleinen mit 64?
In der NasBox kann ich die Start-IP und die Netzmaske einstellen.

Noch lieber wäre es mir ja, den IP-Bereich gleich in der FritzBox 7170 zu blocken, die NasBox hängt direkt dort dran. Aber ich finde in der FritzBox keine entsprechenden Einstellungen.

 

[Schneemann]

Hi Koloth,

Hab da ne Idee, bin mir nicht sicher ob dies bei externen Ip's funktioniert.
Mit der FritzBox kann man ja statische IP-Routen vergeben. Man könnte ja
den Netzbereich irgendwo ins Nirgendwo routen.

Statische IP-Route finde ich bei meiner "FritzBox unter System -> Netzwerkeinstellungen -> IP-Routen"

MfG

Schneeman

 

[Lektro]

Mit Freetz (Nachfolgeprojekt vom DaniSahne-Mod) kommt man an die AVM-Firewall-Konfiguration (Screenshot).
Ich habe mir damit vor einigen Wochen eine Firmware für die Fritz!Box zusammengestrickt, um einen Samba-Server auf die Fritz!Box zu integrieren. Falls Interesse am fertigen FW-Image besteht, schicke mir 'ne PN.

 

[koloth]

Das klingt ja mal interessant.

Mich würden insbesondere 2 Dinge interessieren:

1. Kann ich mit entsprechenden Regeln (vorübergehend) IPs sperren, falls jemand "hämmert"?
Kann ich also beispielsweise definieren, dass nur 4-5 Verbindungsversuche in 5 Minuten erlaubt sind, sonst wird die IP für 1 Stunde blockiert?

2. Wie macht man so etwas überhaupt möglichst risikolos, ohne sich dabei irgend etwas Wichtiges zu zerschiessen?


Heute Mittag hat schon wieder irgend so ein Script-Kiddie versucht, mit offensichtlichen Routine-Abfragen für Logins auf den Server zu kommen.

 

[Lektro]

Mit der orginal AVM-Firewall geht das wohl nicht.
Man kann sich aber das Paket "iptables" (Linux-Firewall) mit in die Firmware kompilieren. Ob sich damit die von dir gewünschte Funktion realisieren läßt, kann ich auch nicht sagen.

Im IP-Phone-Forum gibt es auch viele gute Anleitungen, FAQs und Tipps zu Freetz.