iptables - blokada "206 Partial Content"

atsuki - 19-03-2009 23:33
iptables - blokada "206 Partial Content"
Witam.

Ostatnio chyba polubie się z fail2ban. Przeglądając access logi, mam pełno wpisów jak:
Kod: 80.48.174.79 - - [13/Mar/2009:22:09:51 +0100] "GET /plik.rar HTTP/1.1" 206 54850474 "http://stronka" nie wiem czy to tylko wymysł awstats (przy liczeniu transferu) ale wychodzi na to, że te odwołania http/1.1" 206 generują 12x transfer (normlany 200 10GB, ten 206 - 120GB) Czasem w logach widzę, że do jednego pliku jest kilkadziesiąt takich odwołań.

Nauczony rzuconym tutaj linkiem co do blokowania przy pomocy iptables skanow w00tw00t, pomyślałem, że i przy pomocy fail2ban sobie mogę z tym poradzić, bo mam wrażenie, że po prostu ktoś chce "zjeść" transfer. Jak by to było na jakimś hostingu współdzielonym, to faktycznie mógłby być problem :).

Nie jestem za zaznajomiony ze składnią, ale jak zerknąłem na przykład z w00t w00t, to aby zablkować te 206 partial content to:

Kod: 80.48.174.79 - - [13/Mar/2009:22:09:51 +0100] "GET /plik.rar HTTP/1.1" 206 54850474 "http://stronka" Kod: failregex = ^<HOST> -.*HTTP\/1\.1" 206.* zadziała to w ten sposób?

Kocurro - 19-03-2009 23:59
http://www.the-eggman.com/seminars/html_error_codes.htm

I co widzimy ? Otóż wejdź na swoją stronę, zanim się wczyta kliknij zatrzymaj i co ? ... ojojoj chyba musisz włączyć tryb rescue bo inaczej nie dostaniesz się na serwer.

Kolego - najpierw polecam google :)

pozdr.
Łukasz

atsuki - 20-03-2009 00:40
ehh.. jak ja to lubię

206 dostajesz w tedy, kiedy serwer otrzyma żądanie od klienta na serwowanie danego pliku od jakiegoś fragmentu. W zasadzie dotyczy to tylko plików takich jak flv,zip,rary i inne tego typu.. czasem większych grafik.. wiem o tym. Bo po googlowałem przed napisaniem tematu. Dokładnie zdaje sobie z tego sprawę co chce zrobić. Ale nie jest dla mnie normalnym, kilkadziesiąt(set) takich wpisów w odstępie 20-10s kazdy do jednego pliczku mającego ~50 mega. Jak nawet ktoś używa jakiś akceleratorów do pobierania. I chodzi o proste wycięcie danego ip na 5-20 minut.

A moje pytanie jest następujące, czy ta składnia zadziała, czy też nie.

Używać można wszystkiego, tylko z głowa. A ja sam siebie nie zbanuje, jest to niemożliwe :).

atsuki - 20-03-2009 15:17
ale ja to wiem.. i nie chce blokowac tego calkowicie. Sytuacja dotyczy tylko jednej strony i chodzil o chwilowe zablokowanie ip ktore maja >100 206, w ciagu doslownie paru minut, po kilkunastu minutach sie powtarza taka akcja na tym smamym pliku... That's all, Nie mam zamiaru tego calkowicie blokowac... wydaje mi sie ze jestem jeszcze przy dobrych zmyslach :P

zanotowane.pl

doc.pisz.pl

pdf.pisz.pl

konstruktor.keep.pl