задолбался с pf на freebsd

netwind · 2008-09-09T15:32:44.0000000Z

Есть у меня система на freebsd6.2. Хотелось соорудить некую простенькую защиту от перегрузок в ddos, и поэтому был выбран openbsd packet filter (pf), тк там есть таблицы обеспечивающие быструю выборку из большого списка. Из тех же соображений защиты от ddos, возникла необходимость ограничить число одновременно установленных соединений с одного ip. В мануалах описан финт, который переводчики понимают по-своему, некоторые так и перевели что мол число соединений, но это не так. В оригинале там просто число записей в трекинговой таблице независимо от состояния. Как четко ограничить число полностью открытых соединений в состоянии ESTABLISHED? Ниже пример конфига, на ограничение 3 соединений на порт 250. вроде бы срабатывает, но в таблице соединений pf постоянно творится ерунда и в итоге я легко открываю первые 3 и пару секунд спустя еще 3 соединения. (всего 6 копий программы telnet запускаю одновременно) ext_if="em0" set optimization normal set block-policy drop set timeout src.track 900 set skip on lo0 scrub in all block in on $ext_if proto tcp to 1.2.3.4 port 250 pass in on $ext_if proto tcp to 1.2.3.4 port 250 flags S/SA \ keep state (max 1000,source-track rule, max-src-states 1000, max-src-nodes 10000,max-src-conn 3) Подозреваю, что нужно отдельно написать правило для продолжения трекинга установленных соединий или увеличить какой-нибудь хитрый лимит. Может быть кто-то решал подобную задачу?

S

20

snoopee

11 сентября 2008, 13:45

#11

max-src-conns - число established соединений с одного ИПа (насколько я знаю не всегда правильно работает)

тестировали?

215

Boris A Dolgov

11 сентября 2008, 14:22

#12

Andreyka:
Это защита от пионеров
В настоящем DDOS от 1 ip идет только 1 коннект

Тем не менее 80% атак - пионерские.

С уважением, Борис Долгов. Администрирование, дешевые лицензии ISPsystem, Parallels, cPanel, DirectAdmin, скины, SSL - ISPlicense.ru (http://www.isplicense.ru/?from=4926)

N

419

netwind

11 сентября 2008, 16:41

#13

snoopee, так я с него и начал. суть топика в том, что прямой очевидный путь не работает.

Кнопка вызова админа ()

Тренды маркетинга в 2024 году: мобильные продажи, углубленная аналитика и ИИ

VK приобрела 70% в структуре компании-разработчика red_mad_robot