LINUX.ORG.RU
ФорумAdmin

Неправильно работает модуль hashlimit iptables


0

1

Всем привет! Помогите разобраться с работой модуля hashlimit. Правило iptables: -A INPUT -p tcp --dport 80 -m hashlimit --hashlimit-upto 1/sec --hashlimit-burst 1 --hashlimit-mode srcip --hashlimit-name abc -j ACCEPT Политика INPUT DROP При таком правиле пропускает весь трафик независимо от параметров hashlimit-upto и hashlimit-burst. При правиле -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -m hashlimit --hashlimit-upto 1/sec --hashlimit-burst 1 --hashlimit-mode srcip --hashlimit-name abc -j ACCEPT блокирует весь трафик на порт независимо от параметров hashlimit-upto и hashlimit-burst.

попробуй добавить параметр --hashlimit-htable-expire

nickleiten ★★★ ()
Ответ на: комментарий от nickleiten

попробовал. с ним блокирует трафик и с этим правилом -A INPUT -p tcp --dport 80 -m hashlimit --hashlimit-upto 1/sec --hashlimit-burst 1 --hashlimit-mode srcip --hashlimit-name abc -j ACCEPT Опять же независимо от параметров hashlimit-upto и hashlimit-burst.

vasiliypavlow ()

Попробуй в два правила:

iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m hashlimit --hashlimit-name abc  --hashlimit-mode srcip --hashlimit-above 1/sec --hashlimit-burst 1 -j DROP

iptables -A INPUT -p tcp --syn --dport 80 -j ACCEPT
multihead ()
Ответ на: комментарий от vasiliypavlow

пробуй

iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -m hashlimit --hashlimit-above 1/sec --hashlimit-burst 1 --hashlimit-mode srcip --hashlimit-name abc --hashlimit-htable-expire 120000 -j REJECT --reject-with tcp-reset

Первым правилом мы пропускаем все tcp соединения на 80 порт, которые уже открыты/установлены. Вторым правилом реджектим пакеты, открывающие соединения с сервером на 80 tcp-порт числом выше одного. То есть фактически мы запрещаем открывать больше 1-го соединения в секунду. Сразу замечу, что веб-сервер с такими ограничениями работать не будет. Необходимо, хотя бы 3-5 соединений, чтоб страничка нормально открывалась.

ЗЫ. Пожалуйста, почитайте LORcode

nickleiten ★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.