DDOS forhindring med IPTables

Fant en beskrivele av prinsippene rundt rate limiting på nettet:


iptables -A INPUT -p ICMP -icmp-type echo-request  -m limit -limit 1/minute -limit-burst 5 -j ACCEPT

-limit 1/minute will do what it says; it will only match for a rate of incoming packets up to an average of 1 per minute. The operative word here is average. So, does this mean that the first ping request you get will be accepted, then none for a whole minute? Not quite.

-limit-burst 5 tells iptables to let 5 such packets in before permitting the rule to match; so, in one minute, we can have 5 ping requests popping through. So, -limit 1/minute permits a maximum of 1 packet per minute on average, but -limit-burst 5 permits 5 in one shot. Have we found a logical error in iptables? No you silly clod, remember, -limit stes a limit on average, whereas -limit-burst limits by number of packets in one go. What will happen then in our example?

Verdiene for rate og burst kan være litt tricky å sette opp riktig. Man må rett og slett sette opp så små (lille) verdier at trafikken stanser hurtig opp, og så må man bare justere opp slik at den godtar en passende rate/burst ut i fra testing i drift.

Dette ble litt hurtig pga dårlig tid .. vil eventuelt komme tilbake til saken dersom det ikke virker godt nok ..

Hej langbein.

Det ser jo lovende ud, selv om det nok kræver lidt tid at få det til at spille rigtigt, jeg fandt også det her, kan det ikke bruges evt. i sammenhæng med det du viser?

-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,PSH,URG -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags SYN,RST SYN,RST -j DROP
-A PREROUTING -p tcp -m tcp --tcp-flags FIN,SYN FIN,SYN -j DROP

Dette ser ut som et filter for spoofede (forfalskede) ip pakker. Hvorvidt det vil virke bra med å bruke filtret over ifbm ddos angrep, det tør jeg ikke si. Hvis man ønsker å filtrere på spoofede ip pakker, da bør man vel i all enkelhet hente koden eller syntaksen for dette fra ett eller annet velrenomert web sted (eller en bok.)

Ett eller annet sted her på eksperten så ligger det et script, der vi la litt arbeide i å finne fram til "riktige" verdier for et "burst" filter. Vil forsøke å finne det ..

Her fant jeg tråden der vi både laget filter for spoofede ip adresser og ddos angrep. Er i utgangspunktet et 3 port filter men dette kan jo modifiseres.

Jo, egentlig så er nok et filter for spoofede ip pakker en god ide i forbindelse med ddos angrep, forutsatt at det er riktig satt opp.

http://www.eksperten.dk/spm/541674

Det lader til det virkede Langbein, der har ikke været nogle problemer efter i hvert fald. Du får pointene.

Mange tak for hjælpen!