Помогите с iptables

За рабочее решение плачу 10 баксов первому составившему правило:

ТЗ такое:

в порт (25, 53, 110, 972 - главное, не в 80) долбят 10000 ботов. Нужно от них закрыться.

Нужно правило iptables ограничивающее подключения к портам допустим с 5 разных ip в минуту. Т.о. на работоспособность это не повлияет т.к. порты используются очень редко, а в случае ддос этот ограничитель будет отсеивать весь трафик, пропуская только 5 ип в минуту.

Решений типа блокировать всех не предлагать.

/sbin/iptables -F INPUT
/sbin/iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -m conntrack --ctstate NEW -p tcp --dport 25 -m hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT
/sbin/iptables -A INPUT -m conntrack --ctstate NEW -p tcp --dport 53 -m hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT
/sbin/iptables -A INPUT -m conntrack --ctstate NEW -p udp --dport 53 -m hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT
/sbin/iptables -A INPUT -m conntrack --ctstate NEW -p tcp --dport 110 -m hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT
/sbin/iptables -A INPUT -m conntrack --ctstate NEW -p tcp --dport 972 -m hashlimit  15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 25 -j DROP
/sbin/iptables -A INPUT -p tcp --dport 53 -j DROP
/sbin/iptables -A INPUT -p udp --dport 53 -j DROP
/sbin/iptables -A INPUT -p tcp --dport 110 -j DROP
/sbin/iptables -A INPUT -p tcp --dport 972 -j DROP

Убрал upto - эти паравела на Centos - в полне возможно не сходятся с Debian =)

Вот это уже интересно. Сейчас поставлю , если защитит от доса -тогда все правильно работает

mower добавил 27.04.2011 в 18:21

[root@server ~]# iptables -I ddos3 -m conntrack --ctstate NEW -p tcp --dport 53 -m hashlimit --hashlimit-upto 5/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT

iptables v1.3.5: Unknown arg `--hashlimit-upto'

Try `iptables -h' or 'iptables --help' for more information.

вот выписка из man

mower добавил 27.04.2011 в 18:30

[root@server ~]# iptables -A ddos3 -m conntrack --ctstate NEW -p tcp --dport 53 -m hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT Bad argument `15/min'

видимо у меня старая версия iptables, если его обновить это ведь безболезненно будет?

mower добавил 27.04.2011 в 18:41

Linux 2.6.18-194.32.1.el5 #1 SMP Wed Jan 5 17:52:25 EST 2011 x86_64 x86_64 x86_64 GNU/Linux

iptables v1.3.5:

mower добавил 27.04.2011 в 19:00

сделал yum update -y, ребутнул - ничего не обновлиось, iptables тот же версии 1.3

-m hashlimit --hashlimit 15/min

тихий ужас...

Я почемуто подумал что у вас debian плохой с меня телепат.

ок, я попробую завтра седня уже голова не варит, спасибо

пс. это не тихий ужас, лучше бы написали как этот айпитейблс обновить до 1.4, у меня 1.3

пс2. операционка центос

iptables -v

cat /etc/issue

uname -a

[root@server ~]# iptables -F ddos3

[root@server ~]# iptables -A ddos3 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

[root@server ~]# iptables -A ddos3 -m conntrack --ctstate NEW -p tcp --dport 53 -m hashlimit --hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT

[root@server ~]# iptables -A ddos3 -m conntrack --ctstate NEW -p udp --dport 53 -m hashlimit --hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT

[root@server ~]# iptables -A ddos3 -p tcp --dport 53 -j DROP

[root@server ~]# iptables -A ddos3 -p udp --dport 53 -j DROP

Вроде добавилось, теперь когда человек один на связь выйдет попрошупроверить защиту порта 53, до этого сервер валился в момент

============================

[root@server ~]# iptables -v

iptables v1.3.5: no command specified

Try `iptables -h' or 'iptables --help' for more information.

[root@server ~]# cat /etc/issue

CentOS release 5.5 (Final)

Kernel \r on an \m

[root@server ~]# uname -a

Linux === 2.6.18-194.32.1.el5 #1 SMP Wed Jan 5 17:52:25 EST 2011 x86_64 x86_64 x86_64 GNU/Linux

человек немного в танке, он не понимает что лишних портов открыто быть не должно

п.с. два раза уже в топике намекал

а если сервер падает "в момент" от запросов на 53-й порт, то наверно дело не в ДДОСе

iamsens, не немного, а наглухо.