What dual core motherboard are you using?

I use IPChains now... is that different then IP Tables? ( There is definite memory usasge on my current setup, so I am guessing that the answer is yes.)

I just got an older AMD PC with a 2100+ CPU.  I will try it out on that PC provided the system checks out.  It is not much faster then my current setup, so I do not have high hopes for it.

Anyone using a dual core motherboard that is not using the Atom or similar processor?

Barry, I have been searching for APNIC lists, but every link I try says the page can't be found.  What am I missing??  --> http://www.apnic.net/apnic-bin/ipv4-by-country.pl?country=cn

Thanks,

C68

I use IPChains now... is that different then IP Tables? ( There is definite memory usasge on my current setup, so I am guessing that the answer is yes.)

IPTables is supposed to be much more CPU efficient; IPChains, iirc, used linked-lists which are quite slow compared to hash tables. 
I'm guessing the memory usage won't be much different though.

Barry, I have been searching for APNIC lists, but every link I try says the page can't be found.  What am I missing??  --> http://www.apnic.net/apnic-bin/ipv4-by-country.pl?country=cn

This site shows all of the allocations for each IP registrar, and should be up-to-date as IANA is _the_ authority on IP allocation:
http://www.iana.org/assignments/ipv4-address-space/

Be aware that APNIC includes AU and NZ.

Also note that AfriNIC is new, and most allocations in Africa are through RIPE (we get a lot of 'Nigerian' scammers abusing our site, and most of them are coming from RIPE and AfriNIC).

LACNIC may include ISPs in Puerto Rico.

You can make 'supernets' from many of these allocations to keep your definitions shorter, e.g.
218/8   APNIC                                            2000-12   whois.apnic.net     ALLOCATED          
219/8   APNIC                                            2001-09   whois.apnic.net     ALLOCATED          
220/8   APNIC                                            2001-12   whois.apnic.net     ALLOCATED          
221/8   APNIC                                            2002-07   whois.apnic.net     ALLOCATED          
222/8   APNIC                                            2003-02   whois.apnic.net     ALLOCATED          

can be expressed as 2 /7's and a /8
(218/7 and 220/7 and 222/8)

Other good resources by country are
http://ip.ludost.net/
and
http://okean.com/thegoods.html

Barry

I am really confused on the APNIC thing. I totaly understand CIDR, and know where to find the listings for countries for it.  But, how do I know what countries belong to which APNIC? The link I gave in my post give a page not found error.  (http://www.apnic.net/apnic-bin/ipv4-....pl?country=cn) If I do a search with the search tool using 218/8 it just spits out information about 218.0.0.0... so I am totaly lost. Is'nt there a list of APNIC abc/x has countries x, y and z in it?

You say that this APNIC has AU in it... exactly which APNIC are you talking about, and how did you know that?

Thanks for the help.  I am always wanting to learn more networking stuff!!! [:D]

C68

You can type 2-char country codes (e.g. CN) into 
IP  Country database at LUDOST.NET

press submit, and it'll give you a CIDR list.

It's not "this APNIC"... it's THE APNIC... 

there are only 5 IP registrars aka Regional Internet Registries (RIR):
ARIN (All of the Americas until 2002, now just US & CAN and parts of the Caribbean)
RIPE (EU, Middle East, and until recently, Africa)
AfriNIC (new Africa allocations; old ones are mostly still in RIPE)
APNIC (Asia Pacific, including AU and NZ)
LACNIC (Latin American & Caribbean since 2002)

Regional Internet registry - Wikipedia, the free encyclopedia

Barry

So instead of numbers, I just use the abreviations such as APNIC, to block all of those countries? (The Wikipedia page leads me to belive this, and so does this site. https://www.arin.net/knowledge/rirs/RIPEcountries.html)

See this image: http://upload.wikimedia.org/wikipedia/commons/9/95/Regional_Internet_Registries_world_map.svg

If so, that would explain why I was so confused.  But what where the numbers you were giving? And if they are regions, how do I translate 218/8 into countries x, y and z and so on???

218/8 APNIC 2000-12 whois.apnic.net ALLOCATED
219/8 APNIC 2001-09 whois.apnic.net ALLOCATED
220/8 APNIC 2001-12 whois.apnic.net ALLOCATED
221/8 APNIC 2002-07 whois.apnic.net ALLOCATED
222/8 APNIC 2003-02 whois.apnic.net ALLOCATED 

And why do I see a breakdown here:

APNIC 25  Taipei, Taiwan 
APNIC 26  Christchurch, New Zealand 
APNIC 27  Manila, Philippines
APNIC 28  Beijing, China 
APNIC 29  Kuala Lumpur, Malaysia

There were meeting dates listed for each of these.  Are these break downs of each part of the overall APNIC?  Or are they just names of groups? 

Maybe I am confused because I am trying to understand this as if it were binary math .  

Can you see why I am confused? [:S]

Thanks for all this help!

C68


Add on question:
Lets say I have two PF rules.
Rule 1: let CIDR 58.128.0.0/13 through (China address)   
Rule 2: Stop all APNIC address

If I go to an address in the 58.128.0.0/13 network will it be allowed?  In otherwords, does Astaro stop filtering packets through the rules once it hits a rule that pertains to it? 

That would be very useful!!

Thanks!!

So instead of numbers, I just use the abreviations such as APNIC, to block all of those countries? (The Wikipedia page leads me to belive this, and so does this site. https://www.arin.net/knowledge/rirs/RIPEcountries.html)

See this image: http://upload.wikimedia.org/wikipedia/commons/9/95/Regional_Internet_Registries_world_map.svg

If so, that would explain why I was so confused.  But what where the numbers you were giving? And if they are regions, how do I translate 218/8 into countries x, y and z and so on???

218/8 APNIC 2000-12 whois.apnic.net ALLOCATED
219/8 APNIC 2001-09 whois.apnic.net ALLOCATED
220/8 APNIC 2001-12 whois.apnic.net ALLOCATED
221/8 APNIC 2002-07 whois.apnic.net ALLOCATED
222/8 APNIC 2003-02 whois.apnic.net ALLOCATED 

And why do I see a breakdown here:

APNIC 25  Taipei, Taiwan 
APNIC 26  Christchurch, New Zealand 
APNIC 27  Manila, Philippines
APNIC 28  Beijing, China 
APNIC 29  Kuala Lumpur, Malaysia

There were meeting dates listed for each of these.  Are these break downs of each part of the overall APNIC?  Or are they just names of groups? 

Maybe I am confused because I am trying to understand this as if it were binary math .  

Can you see why I am confused? [:S]

Thanks for all this help!

C68


Add on question:
Lets say I have two PF rules.
Rule 1: let CIDR 58.128.0.0/13 through (China address)   
Rule 2: Stop all APNIC address

If I go to an address in the 58.128.0.0/13 network will it be allowed?  In otherwords, does Astaro stop filtering packets through the rules once it hits a rule that pertains to it? 

That would be very useful!!

Thanks!!

If you want to block specific countries, get the netblocks for each country from a site such as IP  Country database at LUDOST.NET

I was originally trying to point out that if you wanted to block ALL of Asia or Africa you could SIMPLIFY your definitions by using the LARGER blocks for APNIC and AfriNIC, from http://www.iana.org/assignments/ipv4-address-space/

Barry

Yes, the first rule that hits in the packetfilter rules is what is used for the packet, no matter whether it's a drop or allow.

Barry

Hi Coder86,
in answer to your PM.

The last box I used for a while as an ASG used ASUS M2A-VM mb with 2gb ram (paired), 2 extra NICs and AMD BE2300 (which is a 45w X2).

The other box which I rebuild is my Linux server which uses a Gigabyte GA-M61SME-S2. When used a an ASG it is reduced to 2gb of paired memory, an AMD BE2450 (45 watt X2) and 1 extra NIC now that I am using VLANs. This box used about 50-60w depending on load. It was very responsive as a firewall, noticeably faster than the Atom when installing or changing configuration.

I had planned on using the Gigabyte MB box as a VM with the ASG in one partition so I could have DNS and DHCP running on the linux server. This failed because I could not workout how to get the ADSL link connected to the ASG via virtual connection. 

Ian M[:)]
Forgot to add something that might interest BarryG. After turning HT off, my power usage went up by 1-2 watts. Used to be 40-41, now 42-43.

That Gigabyte GA-M61SME-S2 uses the NVIDIA GeForce 6100 chipset... I take it Astaro ran perfectly on that mobo?

I might go the VLan way if I can figure out how to do it on these 3com superstack switches.  If I understand VLAN correctly, I would only need two NIC's. My 'red' NIC and the other one to a switch that supports VLAN.  The switch, using VLANs, keeps each network totaly seperate, but still can send and receive from the port connected to the Astaro box.  

Am I understanding VLAN correctly?

Thanks for the education guys!

C68

Not initially, I had to wait for a version update.

VLANs are good, 2 NICs 3 networks in my case.

Tricky to setup and if you are not careful you can lock yourself out of your ASG.
Recommend you use your external interface before you configure it to be anything other than a standard LAN to do your build from.

BarryG provided a detailed version of how to do it using the Netgear GS108T. A similar approach to other VLAN capable switches probably applies. The VLAN is only setup between the ASG and the port it connects to on the switch. Then you tell each port which VLAN it is part of.

Ian M

Barry,

I was originally trying to point out that if you wanted to block ALL of Asia or Africa you could SIMPLIFY your definitions by using the LARGER blocks for APNIC and AfriNIC, from http://www.iana.org/assignments/ipv4-address-space/

I understand the concept, but not the tech side of it.  I went to the above website and saved the html file as file1.  I then ran this on the file:

cat file1 | grep APNIC > apnic

and got this output (see attached file for full list.)

058/8   APNIC                                            2004-04   whois.apnic.net     ALLOCATED          
059/8   APNIC                                            2004-04   whois.apnic.net     ALLOCATED          
060/8   APNIC                                            2003-04   whois.apnic.net     ALLOCATED          
061/8   APNIC                                            1997-04   whois.apnic.net     ALLOCATED          
110/8   APNIC                                            2008-11   whois.apnic.net     ALLOCATED       
111/8   APNIC                                            2008-11   whois.apnic.net     ALLOCATED      
112/8   APNIC                                            2008-05   whois.apnic.net     ALLOCATED        
113/8   APNIC                                            2008-05   whois.apnic.net     ALLOCATED     
114/8   APNIC                                            2007-10   whois.apnic.net     ALLOCATED        
115/8   APNIC                                            2007-10   whois.apnic.net     ALLOCATED        
116/8   APNIC                                            2007-01   whois.apnic.net     ALLOCATED        
117/8   APNIC                                            2007-01   whois.apnic.net     ALLOCATED        
118/8   APNIC                                            2007-01   whois.apnic.net     ALLOCATED        
119/8   APNIC                                            2007-01   whois.apnic.net     ALLOCATED        
120/8   APNIC                                            2007-01   whois.apnic.net     ALLOCATED        
121/8   APNIC                                            2006-01   whois.apnic.net     ALLOCATED          
122/8   APNIC                                            2006-01   whois.apnic.net     ALLOCATED          
123/8   APNIC                                            2006-01   whois.apnic.net     ALLOCATED          
124/8   APNIC                                            2005-01   whois.apnic.net     ALLOCATED          
125/8   APNIC                                            2005-01   whois.apnic.net     ALLOCATED          
126/8   APNIC                                            2005-01   whois.apnic.net     ALLOCATED

How do I know which of those numbers, not counting the legacy ones, blocks which countries? There are a ton of numbers there...It sounded like one number (APNIC) would block a whole region... but there are a ton of APNIC numbers listed here. Can you please explain this to me?

Thank you for your help!!

C68

You can't tell which blocks go to which countries that way... you need to use one of the sites where you can lookup the 2char country code, e.g. ludost.

Barry

When I go to ludost and type in cn, all I get are CIDR listings...no lsiting like 218/8.  So, I am still confused. Am I using the site wrong?  I type in cn and hit enter and I get all China's CIDR addresses.

Can you please give me an exmple of a PF rule(s) that would block China, and all the other countries related to APNIC?  

I do not mean to be a pain, but I am really trying to understand this.

Thank you,

C68


Ian M,

I am looking at:
 
    GIGABYTE GA-M61PME-S2P AM2+/AM2 NVIDIA GeForce 6100 Micro ATX AMD Motherboard - Retail  -- same one you said worked for you.
    NETGEAR GS108T 10/100/1000Mbps Gigabit Smart Switch - Retail (VLAN support)
    AMD Athlon 64 X2 5050e Brisban  e 2.6GHz Socket AM2 45W Dual-Core Processor Model ADH5050DOBOX - Retail  
    2 gigs of Corsair or Crucial matched RAM.
    Astaro 's latest  build (Non beta)
    40 or 80 gig IDE hard drive & DVD ROM --- unless SATA HD works-- does it?
    SeaSonic SS-300ES 300W ATX12V Ver.2.2 80 PLUS Certified Active PFC Power Supply - OEM  (80 PLUS Certified)

How does that sound?

Thanks.

If you want to block ALL of APNIC, you can use the list from http://www.iana.org/assignments/ipv4-address-space/

If you ONLY want to block SOME countries, you have to use the long lists from ludost.

Barry

Thank you.  I understand it now. [8-)]

Ian, based on your expeiance with the Gigabyte motherboard, how does this look?  I would like to order tomorrow if possible!  

thanks,

Ian M,

I am looking at:
 
    GIGABYTE GA-M61PME-S2P AM2+/AM2 NVIDIA GeForce 6100 Micro ATX AMD Motherboard - Retail  -- same one you said worked for you.
    NETGEAR GS108T 10/100/1000Mbps Gigabit Smart Switch - Retail (VLAN support)
    AMD Athlon 64 X2 5050e Brisban  e 2.6GHz Socket AM2 45W Dual-Core Processor Model ADH5050DOBOX - Retail  
    2 gigs of Corsair or Crucial matched RAM.
    Astaro 's latest  build (Non beta)
    40 or 80 gig IDE hard drive & DVD ROM --- unless SATA HD works-- does it?
    SeaSonic SS-300ES 300W ATX12V Ver.2.2 80 PLUS Certified Active PFC Power Supply - OEM  (80 PLUS Certified)

How does that sound?

Thanks.