Это сложный вопрос. Вообще я хз что там, но мне нужна универсальная защита портов кроме 80.
Сейчас знакомый бил 7к ботами по 53 - держит спокойно (вчера упало в момент от 1000 ботов). Более того, поставил туже схему на 21 - меня пускает туда без проблем, дало скачать 500 файлов (правила разместил выше акцепта на свой ип)
Т.е. это правило как раз то, что мне нужно - полностью снимает с меня головную боль от доса по другим портам.
соответственно автору как и обещал 10 баксов, и 5 баксов тому кто нашел ошибку в синтаксисе. Сейчас напиши в лс за кошельком.
Единственное у меня вопрос
--hashlimit-name hash
Т.е. это имя - это как бы список, его надо разным делать для каждого правила или как? Т.е. допустим hash21 hash53 hash972 ? Или как, или если он один будет - то как бы защита "общая" получится, т.е. если долбят допустим 53 порт, то и другие автоматом не будут никого пускать (ведь список то тот же, а он забит)?
Try `iptables -h' or 'iptables --help' for more information.
вот выписка из man
hashlimit This patch adds a new match called Б─≥hashlimitБ─≥. The idea is to have something like Б─≥limitБ─≥, but either per destination-ip or per (destip,destport) tuple.
It gives you the ability to express
Б─≥1000 packets per second for every host in 192.168.0.0/16Б─≥
Б─≥100 packets per second for every service of 192.168.1.1Б─≥
with a single iptables rule.
--hashlimit rate A rate just like the limit match
--hashlimit-burst num Burst value, just like limit match
--hashlimit-mode destip | destip-destport Limit per IP or per port
--hashlimit-name foo The name for the /proc/net/ipt_hashlimit/foo entry
--hashlimit-htable-size num The number of buckets of the hash table
--hashlimit-htable-max num Maximum entries in the hash
--hashlimit-htable-expire num After how many miliseconds do hash entries expire
--hashlimit-htable-gcinterval num How many miliseconds between garbage collection intervals
mower добавил 27.04.2011 в 18:30
[root@server ~]# iptables -A ddos3 -m conntrack --ctstate NEW -p tcp --dport 53 -m hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT Bad argument `15/min'
видимо у меня старая версия iptables, если его обновить это ведь безболезненно будет?
mower добавил 27.04.2011 в 18:41
Linux 2.6.18-194.32.1.el5 #1 SMP Wed Jan 5 17:52:25 EST 2011 x86_64 x86_64 x86_64 GNU/Linux
iptables v1.3.5:
mower добавил 27.04.2011 в 19:00
сделал yum update -y, ребутнул - ничего не обновлиось, iptables тот же версии 1.3
За рабочее решение плачу 10 баксов первому составившему правило:
ТЗ такое:
в порт (25, 53, 110, 972 - главное, не в 80) долбят 10000 ботов. Нужно от них закрыться.
Нужно правило iptables ограничивающее подключения к портам допустим с 5 разных ip в минуту. Т.о. на работоспособность это не повлияет т.к. порты используются очень редко, а в случае ддос этот ограничитель будет отсеивать весь трафик, пропуская только 5 ип в минуту.
Вы наверно с клиентами так разговариваете после получения оплаты, очень знакомый тон. Когда работа не выполнена и начинается впаривание о ее выполнении.
Raistlin, Троллинг и оскорбления запрещены. Я четко написал это в первом посте.
Если у вас нет конструктивных вопросов по работе хостинга прошу не отписываться в этой теме.
Во-первых вы лежите наглухо. Во-вторых владелец ботнета глупо заносит весь свой ботнет сейчас в файрволл.
Это сложный вопрос. Вообще я хз что там, но мне нужна универсальная защита портов кроме 80.
Сейчас знакомый бил 7к ботами по 53 - держит спокойно (вчера упало в момент от 1000 ботов). Более того, поставил туже схему на 21 - меня пускает туда без проблем, дало скачать 500 файлов (правила разместил выше акцепта на свой ип)
Т.е. это правило как раз то, что мне нужно - полностью снимает с меня головную боль от доса по другим портам.
соответственно автору как и обещал 10 баксов, и 5 баксов тому кто нашел ошибку в синтаксисе. Сейчас напиши в лс за кошельком.
Единственное у меня вопрос
--hashlimit-name hash
Т.е. это имя - это как бы список, его надо разным делать для каждого правила или как? Т.е. допустим hash21 hash53 hash972 ? Или как, или если он один будет - то как бы защита "общая" получится, т.е. если долбят допустим 53 порт, то и другие автоматом не будут никого пускать (ведь список то тот же, а он забит)?
iamsens, уйдите, господин многоуважаемый жирный лоснящийся форумный тролль с моей ветки =)
[root@server ~]# iptables -F ddos3
[root@server ~]# iptables -A ddos3 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
[root@server ~]# iptables -A ddos3 -m conntrack --ctstate NEW -p tcp --dport 53 -m hashlimit --hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT
[root@server ~]# iptables -A ddos3 -m conntrack --ctstate NEW -p udp --dport 53 -m hashlimit --hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT
[root@server ~]# iptables -A ddos3 -p tcp --dport 53 -j DROP
[root@server ~]# iptables -A ddos3 -p udp --dport 53 -j DROP
Вроде добавилось, теперь когда человек один на связь выйдет попрошупроверить защиту порта 53, до этого сервер валился в момент
============================
[root@server ~]# iptables -v
iptables v1.3.5: no command specified
Try `iptables -h' or 'iptables --help' for more information.
[root@server ~]# cat /etc/issue
CentOS release 5.5 (Final)
Kernel \r on an \m
[root@server ~]# uname -a
Linux === 2.6.18-194.32.1.el5 #1 SMP Wed Jan 5 17:52:25 EST 2011 x86_64 x86_64 x86_64 GNU/Linux
ок, я попробую завтра седня уже голова не варит, спасибо
пс. это не тихий ужас, лучше бы написали как этот айпитейблс обновить до 1.4, у меня 1.3
пс2. операционка центос
Вот это уже интересно. Сейчас поставлю , если защитит от доса -тогда все правильно работает
mower добавил 27.04.2011 в 18:21
[root@server ~]# iptables -I ddos3 -m conntrack --ctstate NEW -p tcp --dport 53 -m hashlimit --hashlimit-upto 5/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT
iptables v1.3.5: Unknown arg `--hashlimit-upto'
Try `iptables -h' or 'iptables --help' for more information.
вот выписка из man
This patch adds a new match called Б─≥hashlimitБ─≥. The idea is to have something like Б─≥limitБ─≥, but either per destination-ip or per
(destip,destport) tuple.
It gives you the ability to express
Б─≥1000 packets per second for every host in 192.168.0.0/16Б─≥
Б─≥100 packets per second for every service of 192.168.1.1Б─≥
with a single iptables rule.
--hashlimit rate
A rate just like the limit match
--hashlimit-burst num
Burst value, just like limit match
--hashlimit-mode destip | destip-destport
Limit per IP or per port
--hashlimit-name foo
The name for the /proc/net/ipt_hashlimit/foo entry
--hashlimit-htable-size num
The number of buckets of the hash table
--hashlimit-htable-max num
Maximum entries in the hash
--hashlimit-htable-expire num
After how many miliseconds do hash entries expire
--hashlimit-htable-gcinterval num
How many miliseconds between garbage collection intervals
mower добавил 27.04.2011 в 18:30
[root@server ~]# iptables -A ddos3 -m conntrack --ctstate NEW -p tcp --dport 53 -m hashlimit 15/min --hashlimit-mode srcip --hashlimit-name hash -j ACCEPT Bad argument `15/min'
видимо у меня старая версия iptables, если его обновить это ведь безболезненно будет?
mower добавил 27.04.2011 в 18:41
Linux 2.6.18-194.32.1.el5 #1 SMP Wed Jan 5 17:52:25 EST 2011 x86_64 x86_64 x86_64 GNU/Linux
iptables v1.3.5:
mower добавил 27.04.2011 в 19:00
сделал yum update -y, ребутнул - ничего не обновлиось, iptables тот же версии 1.3
За рабочее решение плачу 10 баксов первому составившему правило:
ТЗ такое:
в порт (25, 53, 110, 972 - главное, не в 80) долбят 10000 ботов. Нужно от них закрыться.
Нужно правило iptables ограничивающее подключения к портам допустим с 5 разных ip в минуту. Т.о. на работоспособность это не повлияет т.к. порты используются очень редко, а в случае ддос этот ограничитель будет отсеивать весь трафик, пропуская только 5 ип в минуту.
Решений типа блокировать всех не предлагать.
За рабочее решение плачу 10 баксов первому составившему правило:
ТЗ такое:
в порт (25, 53, 110, 972 - главное, не в 80) долбят 10000 ботов. Нужно от них закрыться.
Решений типа блокировать всех не предлагать. Как показала практика и такие "специалисты" нашлись.
Вы наверно с клиентами так разговариваете после получения оплаты, очень знакомый тон. Когда работа не выполнена и начинается впаривание о ее выполнении.