LINUX.ORG.RU

Такое правило IPtables имеет право существовать ?


0

1

iptables -N ddoss

iptables -A INPUT -m conntrack --ctstate NEW -p tcp --dport 7777 -j ddoss

iptables -A ddoss -m conntrack --ctstate NEW -m recent --update --seconds 120 --hitcount 4 -j DROP

iptables -A ddoss -m conntrack --ctstate NEW,INVALID -p tcp --tcp-flags SYN,ACK SYN,ACK -j REJECT --reject-with tcp-reset

iptables -A ddoss -p tcp --dport 7777 -m connlimit --connlimit-above 3 -j DROP

iptables -A ddoss -m recent --set -j ACCEPT

Ты словами опиши логику, которой хочешь достичь

Pinkbyte ★★★★★ ()
Ответ на: комментарий от Paulra

У вас ″--set″ стоит в конце, поэтому первое соединение не должно было попасть в ″--update″, на момент прохождения первого пакета в списке не было ещё этого src ip-адреса.

Думаю, что на пятое открываемое с одного адреса соединение должен сработать recent, а не connlimit.

mky ★★★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.