Реализована программная защита от DDOS атак.

для поддержки connlimit и TARPIT нужен patch-o-matic

1. Не собрано должным образом

2. Например так:

sysctl -w net.ipv4.tcp_syncookies=1 (в конфиге ядра включал syncookies)

iptables -A FORWARD -m state --state INVALID -j DROP

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

3. Отловить по логу ip, которые получают 50x и зобанить

connlimit можно компенсировать recent - ом.

Причём более гибко. Как правило, применяется для отбрасывания брутфорсеров на SSH.

Можно гибче :) К Вашим правилам добавить:

iptables -A FORWARD -p tcp --syn -m limit --limit 5/s -j LOG " - flooder!"

в настройках syslog-ng сделать отправку в пайп и банить сразу.

Хотя можно использовать тот же recent для этого.

Всем спасибо!

blaize, а если кто то страничку с картинками откроет, будет сразу флудер? )

Я так понимаю эта строка отправляет запись в лог, если с одного ип более 5 запросов в сек?

кипалив решает...

А если браузер кипалив неумеет? :)

афтар примера их не любит

А нафик такие клиенты сайту? :D

А во фре чем-нибудь так же можно сделать?

man pf.conf

IPTABLES при большом PPS идет лесом =)