Как быстро закрыть доступ IP в интернет?
-
Иногда возникает потребность отключить определённый IP от интернета, как это можно быстро реализовать?
-
Создать блокирующее правило в firewall:
Source IP - ip адрес для которого нужно запретить dst ip ставим галочку "Not" указывается алиас со списком сетей, которые ему разрешены. -
Можно чуточку поподробней расписать настройки?
-
Если у вас совсем все просто - есть только WAN и пользователи интернет из LAN, никаких DMZ и прочих подсетей, вланов, то в Source "Not" - не устанавливаете, Type - Single Host or Alias
Address: ip адрес, которому нужно отключить доступ(я подразумеваю, что этот IP находится в локальной сети)В разделе Destination делаете все как на вашем скриншоте в разделе Source.
И протокол думаю тоже выбрать любой. -
А не проще создать алиас "плохих парней" и этому алиасу создать правило запрета выхода в интернет?
При необходимости - прописываем ip-адрес в алиас и айпишник сразу становится "невыездным"! :) -
Если IP жертвы один и помимо LAN других сетей нет, то
Source - нужный IP, protocol - any, destination и порт - не указываете. Action - block или reject.Если жертв более одной - создайте алиас с их IP, и в Source указываете этот алиас.
Если же жертв более одной, и есть другие сети, доступные, через VPN, например, доступ к которым нужно оставить - удобно использовать совет nuihuase с использованием NOT, при желании дополнив его алиасами.
Правило поставить выше, чем
Default allow LAN to any rule.Для удобства чтения - пример такого правила с Микротик:
action=reject chain=forward comment="No Internet Access" dst-address-list=**!**Local_subnets src-address-list=No_Internet
где:
Local_subnets - список(алиас) локальных сетей.
No_Internet - список(алиас) ограничиваемых IP
! - означает NOT.Сессии, открытые с IP жертв до применения правила могут довольно долго продолжать работать до того, как их убьет pfSense.
Поэтому - reset states или reboot.