Dotaz: DoS a iptables

[Petr Valenta]

Zdravíčko, zde je ukázka konfigurace iptables: $IPTABLES -N PROTECT

$IPTABLES -A INPUT -i $PUBLIC_IF -j PROTECT

$IPTABLES -A PROTECT -p tcp --syn -j PROTECT_FROM_SYN_FLOOD

$IPTABLES -A PROTECT_FROM_SYN_FLOOD -m limit --limit 1/s -j RETURN

$IPTABLES -A PROTECT_FROM_SYN_FLOOD -m limit --limit 6/m --limit-burst 1 -j LOG --log-level debug --log-prefix "BLOCK SYN FLOOD "

$IPTABLES -A PROTECT_FROM_SYN_FLOOD -j DROP

Původně to mělo sloužit jako ochrana proti syn floodu, ale ve skutečnosti to způsobí DoS :). Stačí, abych začal skenovat porty a už se ani na ssh nepřihlásím. Nenapadá vás, jak upravit pravidla, aby bylo povoleno 1 spojení za sekundu (když opomenu defaultní limit-burst) z jedné IP a ne celkově? Díky díky

P.

Odpovědi

[Petr Šobáň]

# Retezec pro stanoveni limitu prichozich SYN konexi (ochrana pred SYN floods)
# propusti pouze 4 SYN segmenty/sec
$IPTABLES -N syn-flood
$IPTABLES -F syn-flood
$IPTABLES -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN
$IPTABLES -A syn-flood -j DROP

# Odfiltrovat pokusy o syn-flooding
$IPTABLES -A INPUT -p tcp --syn -j syn-flood

Záleží taky zda tě tam nějaké pravidla nezůstaly a nemáš tam někde dírku

[Petr Valenta]

nikde nic nezustalo, na to jsem koukal. Nejakej dalsi napad? :)

P.