问题[block](server)

目标：阻止 UDP 流量到此网关 LAN 端的设备（使用 dd-wrt ​​固件），这些设备与互联网和彼此通信，以测试每个设备上运行的特定通信应用程序。

例外：允许支持这些设备的基本网络操作所需的最低 UDP 继续与互联网和彼此通信（例如：通过 TCP）。

到目前为止我已经尝试过：在此路由器/网关上添加了规则（通过 SSH 会话）：

iptables -I FORWARD -p udp -j DROP 
iptables -I INPUT -p udp -j DROP

观察到（什么运作良好）：

• 该规则iptables -I FORWARD -p udp -j DROP成功阻止 LAN 端的设备通过 UDP 与 WAN 端的设备进行通信，这已通过无法使用实用程序在这些设备之间进行通信来验证ncat -u。

观察到（什么不起作用）：

• LAN 端的设备可以使用 UDP 相互通信：
  • 在设备 1（在 LAN 端）：ncat -lvu # 在默认端口 31337 上使用 UDP 启动 ncat 侦听器
  • 在设备 2 上（在 LAN 端）：ncat -vu <ip-addr-device-1># 在默认端口 31337 上使用 UDP 启动 ncat 调用程序

期望（期望的结果）：

• 设备 2 上的 ncat 调用方无法使用 UDP 与设备 1 上的 ncat 侦听器进行通信。
• 设备 2 上的 ncat 调用者能够使用 TCP 与设备 1 上的 ncat 侦听器进行通信，但不使用 ncat 参数-u。

附加信息：

• 使用命令iptables -I INPUT -p udp -j DROP会影响太多其他通信，但无论如何都要使用，以证明此规则在阻止这两个设备之间的 UDP 通信方面无效。
• 使用硬件：tp-link AC1750（Archer C7 v5）
• 使用固件：dd-wrt，设置“Operating Mode = Gateway”
• 网关后面的设备是 UWP、iOS、Android。此处给出的示例使用 UWP (Windows 10) 设备。
• 我已经看到如何阻止 UDP 同时仍然允许与 iptables 的出站 UDP 连接？，但在我的情况下似乎没有效果，正如尝试所证明的那样iptables -I INPUT -p udp -j DROP。

我正在帮助运营一个网站，该网站因政治原因被之前试图阻止 Telegram (RosKomNadzor) 的同一个俄罗斯机构阻止。这不是第一次发生，以前我们只会更改域，但这有其自身的影响和读者群的损失。

他们只阻止域名，而不是 IP（无论如何我们都在使用 Cloudflare）。我们正在使用 HTTPS，但 ISP 仍然能够以某种方式从他们的客户端获取有关我们的请求的 DNS 信息。从技术上讲，我们可以建议我们的读者配置他们的/etc/hosts，但这不是一个可行的选择。

是否可以在我们的服务器端加密/混淆 DNS 信息，而无需用户进行任何更改/安装软件？还是等待 DNS over HTTPS 成为我们唯一的选择？

来自俄罗斯的爱。

我想阻止 nmap 的 ack ping 探测，为了做到这一点，我首先需要阻止所有传入端口 80 的 ack 数据包。我使用了这个命令，但它没有工作：

iptables -A INPUT -p tcp --dport 80 --tcp-falgs ALL ACK -j DROP

问题是它适用于 80 和 443 以外的任何端口，它们恰好是 http/https 协议的端口。有什么方法可以使这项工作并阻止这些端口上那些意外的 ACK 数据包？

这是我输入链中的所有规则：

iptables -P INPUT DROP

iptables -A INPUT -p tcp --dport 80 --tcp-flags ALL ACK -j LOG --log-prefix "PSAD: ACK PING "
iptables -A INPUT -p tcp --dport 80 --tcp-flags ALL ACK -j DROP

iptables -A INPUT -m conntrack --ctstate INVALID -j LOG --log-prefix "DROP INVALID " --log-ip-options --log-tcp-options
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT

先感谢您...

我管理的一台服务器被一个编码不佳的 AWS 构建的机器人所困扰，该机器人不断地切换 IP，并且似乎陷入了递归编码循环。我能看到的唯一一致的指纹是每个请求只是一个HEAD请求，每个请求似乎都重新编码了前一个请求。于是http://someurl.com/?foo=%25bar就..%2525..变成了..%252525..……%2525252525252525...x1000

这是我看到的请求类型的示例：

HEAD http://example.com/?foo=%25bar
HEAD http://example.com/?foo=%2525bar
HEAD http://example.com/?foo=%252525bar
HEAD http://example.com/?foo=%25252525bar
HEAD http://example.com/?foo=%2525252525bar
HEAD http://example.com/?foo=%2525252525...25bar (x1000)

到目前为止，我一直在使用 Cloudflare 防火墙来阻止每个 IP，但它们会不断切换 IP。

我怎样才能简单地阻止所有包含子字符串（比如%25252525）的 HEAD 请求？

我在跑步Apache/2.4.6 (CentOS)。

我正在寻找一种方法来阻止 csf 中的小 ip 范围，例如151.80.31.103 to 151.80.31.115

我知道如何通过发出一个 cmmand 来阻止每个 ip csf -d IP，但是像给定的例子一样，有一种方法来阻止一小部分 ip 范围会更有效。

我已经搜索了一段时间，但没有找到任何相关信息。

感谢您的任何提示！

我想知道是否有人可以指出正确的方向，告诉我如何阻止特定的 exe 文件在域环境中的 XP 机器上执行。

我有活动目录设置和工作，所以这是一个可能的工具。

我知道如何按名称阻止 exe，但人们可以更改文件的名称并再次启动它。

无论用户将文件名更改为什么，有没有办法阻止特定的 exe？

谢谢！

我刚刚遇到了我们的 ISP 的问题；我们的互联网连接被阻止，因为从我们的 IP 发送的邮件太多。问题是我们都使用 gmail，据我们所知，没有邮件通​​过 ISP SMTP 服务器发送（ISP 阻止所有流量到端口 25，如果它不在他们的服务器上）。

我提前封锁了 25 端口，所以发往该邮件服务器的外发邮件无法离开我们的网络。但这不会拒绝发送到其他服务器端口的邮件。

我想做的是找出是什么在我们的网络上发送这些邮件。是否有一个程序可以识别邮件包并使用 Ubuntu 拒绝它们？顺便说一下，我们的 Ubuntu 路由器不运行 smtp 服务器。

我为一些内部的东西（文件共享、sql server 等）设置了一个 windows 2008 服务器。我只需要从网络内的计算机访问机器。阻止服务器上所有传出和传入流量的最佳/最简单方法是什么？

这是否可以在 SQL Server 2008 中禁用一个用户或数据库的远程访问？

谢谢

我正在使用带有少量 windows xp 客户端机器的 linux (RHEL 5) 服务器，

我想阻止客户端的洪流下载，

我正在使用 squid 2.6 稳定版。

• 我怎么能用鱿鱼做到这一点？
• 有没有其他选择可以做到这一点？