Dotaz: Zabraneni DoS (firewall -> pf.conf)

[makak]

Mohl by mi nekdo poradit, jaka pravidla mam pro firewall vyrobit, abych dokazal ochranit otevreny port tim zpusobem, ze omezim pocet pripojeni z nahodne IP adresy za urcitou casovou jednotku. jde mi o to ochranit apache pred necim jako je # ab -n 1000000000 -c 1000000 http://muj_server.cz/ ...
Stavim to na BSD (pf). Mam udelatko pravidla omezujici pocet vsech pripojeni a pocet simultanich pripojeni.. pass in on $ext_if proto tcp from any to any port 80 flags S/SA keep state (source-track, max-src-states 3, max-src-nodes 10000)
ale jde to nejak omezit na casove jednotky ? Bude to na hodne vytizenem webserveru. Ma nekdo napady pro muj /etc/pf.conf ? Taky bych byl rad, kdyby jste se se mnou podelili o skusenosti se zamezenim i jinych typu ataku ..

Diki vsem za prispevky

Odpovědi

[makak]

Apache ma mod_limitip .. ale nechci to nechavat jen na tuto jednou vec. .. A ostatne porty by take bylo treba nejak osetrit.. MAte nejake napady ?

[Michal Čihař]

no vždycky můžeš udělat něco takového:

iptables -A INPUT -p TCP --dport www -m limit --limit 5/s -j ACCEPT

[Michal Čihař]

jsem slepej, přehlídnul jsem, že to je bsd, tak mě klidně ignorujte

[makak]

Ono je to super.. !!! presne taketo nieco som mal na mysli... len to nejako prelozit do toho bsd..

[Michal Kubeček]

Aby to fungovalo, musela by tam být ještě podmínka --syn. Z praktických důvodů bych přidal i nějaký --limit-burst.

[makak]

Poviem Vam pravdu, vobec neviem, ci to ma podporu v pf.. Neviete mi povedat ? Handbook na openBSD je dost strucny..

[Michal Čihař]

No ten syn je celkem zbytečný, protože tohle mívám, až za -m state --state ESTABLISHED,RELATED -j ACCEPT, takže se tam stejně dostanou jen nové pakety. S --limit-burst souhlasím, on stejně limit 5/s je hodně málo .