Administrace komentářů

Ahoj, mám CentOS6, na kterém mi běží webserver (tcp80+443). Před serverem je firewall, který všechen příchozí provoz z internetu blokuje, kromě portů 80/tcp a 443/tcp (víc o firewallu nevím, neadminuju ho). Provoz z internetu jde na eth1, eth0 je management sitovka.

Pomocí iptables chci zabránit malému DDOS útoku na eth1, nepotřebuju logování, jde mi o jednoduchost, přehlednost a funkčnost. Předpokládám návštěvnost cca 30 připojení za sekundu. Ve špičce i víc.

Podle tohoto článku jsem si sepsal pravidla, výsledek vypadá takto:

[root@svweb1 ~]# iptables-save
# Generated by iptables-save v1.4.7 on Sun Mar 26 03:11:48 2017
*filter
:INPUT ACCEPT [46:3090]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [150647:109863890]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth1 -p tcp -m connlimit --connlimit-above 200 --connlimit-mask 32 -j REJECT --reject-with tcp-reset
-A INPUT -i eth1 -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --tcp-flags RST RST -j DROP
-A INPUT -i eth1 -p tcp -m conntrack --ctstate NEW -m limit --limit 60/sec --limit-burst 50 -j ACCEPT
-A INPUT -i eth1 -p tcp -m conntrack --ctstate NEW -j DROP
COMMIT
# Completed on Sun Mar 26 03:11:48 2017
# Generated by iptables-save v1.4.7 on Sun Mar 26 03:11:48 2017
*mangle
:PREROUTING ACCEPT [252606:111663529]
:INPUT ACCEPT [252500:111649961]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [150664:109868456]
:POSTROUTING ACCEPT [150664:109868456]
-A PREROUTING -m conntrack --ctstate INVALID -j DROP
-A PREROUTING -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j DROP
-A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,RST FIN,RST -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,ACK FIN -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags ACK,URG URG -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,ACK FIN -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags PSH,ACK PSH -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,PSH,URG -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,ACK,URG -j DROP
-A PREROUTING -f -j DROP
COMMIT
# Completed on Sun Mar 26 03:11:48 2017

[root@svweb1 ~]# iptables -vnL --line-numbers
Chain INPUT (policy ACCEPT 113 packets, 7696 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1    33061   14M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
2        0     0 REJECT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           #conn/32 > 200 reject-with tcp-reset
3        0     0 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x04/0x04 limit: avg 2/sec burst 5
4        0     0 DROP       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x04/0x04
5      195 10824 ACCEPT     tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           ctstate NEW limit: avg 60/sec burst 50
6        0     0 DROP       tcp  --  eth1   *       0.0.0.0/0            0.0.0.0/0           ctstate NEW

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 22804 packets, 15M bytes)
num   pkts bytes target     prot opt in     out     source               destination

Co si o tomto řešení myslíte? Uvítám vaše názory, popřípadě vaše řešení z podobně dimenzované aplikace. Dík