IPtables, защита от DoS атаки

телепат детектед?

вы свои знания уже показали высказываниями об RST при синкуках

уникальность чего?

Не осилили текст? Мне не лень пальцем ткнуть: More detail -> UDP.

Меняет, т.к. в это вас и ткнули. Не путайте состояния транспортного протокола (если они вообще есть) и оные для модуля iptables.

Самое интересное, что если даже заблокировать весь udp на сервере, то все равно трафик будет продолжать забивать канал

И рассуждения про состояние в контексте темы просто бесполезны

Если мы обсуждаем защиту с помощью iptables, то предполагаем, что атака меньше канала сервера.

Если входящий канал забит, то конечно же настраивать на сервере что то бесполезно.

Если канал сервера забивается, то тогда имело бы смысл, что бы программа обнаружения IP ботов работающая на сервере, отправляла бы список обнаруженных ботов для блокировки на маршрутизаторы ДЦ. Кто ни будь знает ДЦ, которые могли бы дать возможность блокировать список IP ботов клиентам на своих маршрутизаторах?

Т.е. с TCP такого принципиально не случится? 🍿

Ципленок учит авторов iptables, спешите видеть.

Информация для цыплят, чтоб не задавали глупых вопросов: http://www.inetdaemon.com/tutorials/internet/tcp/3-way_handshake.shtml

Ты действительно не знаком с синфлудом?

Знаком, потому и скинул тебе ссылку.

Сомневаюсь. Тогда в чем разница с TCP:

Ну вот, заблокировали мы TCP трафик полностью - как это кому-то помешает "продолжать забивать канал" син-флудом?

Точно также, "состояния соединений" в UDP, которые понимает iptables - не решат в общем случае проблему с трафиком.

Ты думаешь, что единственный обладаешь тайным знанием про то, что UDP - stateless протокол?

Речь шла о том, что у iptables есть свое представление о "состояниях" и "соединениях", отличное от возможностей протокола транспортного уровня. Этим можно пользоваться при фильтрации UDP пакетов. Если не понял - по второму кругу лень объяснять.

Под tcp я подразумевал установленное соединение.