31 Ответ от singles123

  • Зарегистрирован: 20.09.2011
  • Сообщений: 41
  • Репутация : [ 5 | 0 ]

А это зачем?
iptables -A INPUT -p tcp --syn -j DROP

32 Ответ от Shkrest

  • Shkrest
  • Новичок
  • Неактивен
  • Зарегистрирован: 16.10.2012
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]

я уже точно не помню, но вроде ограничивает --syn пакеты.
Наверное нужно по подробней.
У меня есть игровой сервер cs, и есть скромный мониторинг для себя лично просто для контроля онлайна.
Я хотел бы, что бы нельзя было ддосить меня.Сейчас у меня стоит правило

+ открыть спойлер

### BEGIN INIT INFO
# Provides: defaultdaemon
# Required-Start: $remote_fs $syslog
# Required-Stop: $remote_fs $syslog
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Short-Description: Start daemon at boot time
# Description: Enable service provided by daemon.
### END INIT INFO

iptables -A INPUT -p tcp --syn -m limit --limit 60/s -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 22  -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 27015  -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 27016  -j ACCEPT
iptables -A INPUT -p udp --dport 27015:27016 -m hashlimit --hashlimit-upto 101/s --hashlimit-mode srcip --hashlimit-name css -j ACCEPT
iptables -I INPUT -m state --state NEW -p tcp ! --syn -j DROP
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT
iptables -A INPUT -p tcp -m tcp --dport 22 -m connlimit --connlimit-above 3 --connlimit-mask 32 -j DROP
iptables -A INPUT -p tcp -m tcp --dport 27015:27016 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j DROP
iptables -A INPUT -p udp --dport 27015:27016 -j DROP
iptables -A INPUT -p udp --dport 27015:27016 -m length --length :28 -j DROP
iptables -A INPUT -p tcp --syn -j DROP

Но на сколько мне сейчас открыли глаза, это не скрипт а гвоздь.Вот я теперь окончательно запутался.
Объясните что значат подчеркнутые правила под сполером?И как мне стало известно у меня в старом правиле не чего не работало ?!

33 Ответ от singles123

  • Зарегистрирован: 20.09.2011
  • Сообщений: 41
  • Репутация : [ 5 | 0 ]

iptables -A INPUT -p tcp --syn -j DROP
Данное правило блокирует все новые попытки соединения для tcp с твоим серваком.
Путаться не надо. Надо читать.

34 Ответ от Shkrest (02.11.2012 18:44:41 отредактировано Shkrest)

  • Shkrest
  • Новичок
  • Неактивен
  • Зарегистрирован: 16.10.2012
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]

iptables -A INPUT -p tcp --syn -m limit --limit 60/s -j ACCEPT не позволит соедениться с 1 ип чаще чем раз в 60 сек?Правильно я понимаю?

+ открыть спойлер

#Politic
$IPT -P INPUT   DROP
$IPT -P OUTPUT  DROP
$IPT -P FORWARD DROP
# befor clear all chains
iptables -t filter -F
iptables -t filter -X
iptables -t nat -F
iptables -t nat -X
Выставил политику
iptables -A INPUT -p tcp --tcp-flags SYN -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT
iptables -A INPUT -p tcp -m tcp --dport 22 -m connlimit --connlimit-above 4 --connlimit-mask 32 -j REJECT
iptables -A INPUT -p tcp -m tcp --dport 25566 -m connlimit --connlimit-above 5 --connlimit-mask 32 -j DROP
Дал ограничения
iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -i eth0 -p tcp --dport 25566 -j ACCEPT
открыл нужное?

1 конлимит вытащит ддос?Или что еще нужно дописать, что бы не какого флуда и лишних пакетов (меня интересуют только пакеты которые могут принадлежать к атаке)

35 Ответ от Shkrest (02.11.2012 18:41:55 отредактировано Shkrest)

  • Shkrest
  • Новичок
  • Неактивен
  • Зарегистрирован: 16.10.2012
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]

Сейчас появилась новая атака, действует так, на игровой сервер отправляется запрос, сервер отвечает на этот запрос, только не туда откуда он был изначально, а в другое место (другое место это жертва)Получается из серверов делают, бот сеть, забирают некоторое количество трафика, и получается что мой сервер отвечая на запрос создает атаку.!
Это правило заработает если его поставить?Сейчас найду примеры решений которые именно по этим бот сетям советуют, подскажите если не трудно что и как -()

iptables -А INPUT -p udp -m udp -m string --hex-string "|FFFFFFFF56|" --algo kmp -j DROP

Вот собственно и это правило.Что оно делает можите пояснить?

36 Ответ от Shkrest

  • Shkrest
  • Новичок
  • Неактивен
  • Зарегистрирован: 16.10.2012
  • Сообщений: 36
  • Репутация : [ 0 | 0 ]

Удаляй, все сделанно.Спасибо за внимание, и помощь.
bj утро