Защита от скана с помощью iptables

[Karen]

Доброе время суток господа,

поскольку в последнее время участились сканирования и попытки взлома моего веб-сервера, я решил действовать

Компоненты:

OC: Debian 6.0.5
Apache: 2.2.16


URL админки сайта поменял c "admin" на "kobra". Теперь хочу написать правила для iptables таким образом, чтоб блокировались все те IP адреса которые стучатся на следующие URL-ы:

myserver.ru/admin

myserver.ru/cms

myserver.ru/administrator

myserver.ru/phpmyadmin

myserver.ru/wp-admin


такое возможно? что скажете уважаемые гуру?

[IMB]

http://www.fail2ban.org/wiki/index.php/Main_Page

[Rassol2]

мне кажется легче будет отсекать таковых при помощи .htaccess указать ип которому можно остальным нет. Ну и много другого.
Это конечно если эту задачу необязательно решать при помощи iptables

[Bizdelnick]

Как вариант, если не критично использование именно Apache: Hiawatha такое умеет.

[Olden Gremlin]

такое возможно? что скажете уважаемые гуру?

Да, такое возможно. Причём почти в реальном времени - tail -f web.log | ..., тебе в помощь

И ещё, вместо того чтобы плодить простыни со списками адресов в правилах iptables лучше использовать ipset.

[Ленивая Бестолочь]

насколько я понимаю, такое можно сделать с помощью fail2ban.
а по поводу

tail -f web.log | ...

предлагаю следующий резиновый набалдашник для этого костыля: если логи пишутся через сислог, то, например rsyslog умеет писать логи сразу в пайп. очень удобно для обработки скриптом.

[drBatty]

предлагаю следующий резиновый набалдашник для этого костыля: если логи пишутся через сислог, то, например rsyslog умеет писать логи сразу в пайп. очень удобно для обработки скриптом.

tail -f примерно так же и делает - отправляет в пайп новые строчки в логе. Т.ч. нужность данного набалдашника сомнительна.

[Ленивая Бестолочь]

drBatty, ну а вам самим не кажется некрасивым одной программой писать в файл, а другой тут же читать из него, когда можно просто передать через пайп?