Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
Strony: 1
- Forum Debian Users Gang
- » Sieci i serwery
- » [SOLVED] Problem z blokowaniem www przez firewall
#1 2013-11-29 14:53:48
scorch - Użytkownik
- scorch
- Użytkownik
- Zarejestrowany: 2013-09-10
[SOLVED] Problem z blokowaniem www przez firewall
Witam
Posiadam serwer www oparty o Apache. Pracuje on na dwóch portach 80 oraz 443 a także ssh na porcie 20002. Niestety ale co jaki czas usługi zostają "zablokowane" w trakcie pracy serwera. Pomaga dopiero ręczne wczytanie pliku z regułami firewall-a. Nie wiem już co może powodować takie zachowanie serwera.
Kod:
#!/bin/sh IPTABLES=/sbin/iptables $IPTABLES -F $IPTABLES -P INPUT DROP $IPTABLES -P OUTPUT ACCEPT $IPTABLES -P FORWARD DROP # zezwolenie na ruch dla interfejsow petli zwrotnej $IPTABLES -I INPUT -i lo -j ACCEPT $IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT #$IPTABLES -A INPUT -p tcp -i eth0 --dport 20002 --sport 1024:65535 -m state --state NEW -j ACCEPT $IPTABLES -A INPUT -p tcp --dport 80 --syn -m limit --limit 5000/s -m state --state NEW -j ACCEPT $IPTABLES -A INPUT -p tcp --dport 443 --syn -m limit --limit 5000/s -m state --state NEW -j ACCEPT $IPTABLES -A INPUT -p icmp --icmp-type 8 -m limit --limit 20/s -j ACCEPT $IPTABLES -A OUTPUT -p icmp --icmp-type 8 -m limit --limit 20/s -j ACCEPT $IPTABLES -A INPUT -m hashlimit -m tcp -p tcp --dport 20002 --hashlimit 10/min --hashlimit-mode srcip --hashlimit-name ssh -m state --state NEW -j ACCEPT
Ostatnio edytowany przez scorch (2013-12-03 14:06:16)
Offline
#2 2013-11-29 18:32:12
Jacekalex - 
Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/random
- Zarejestrowany: 2008-01-07
Re: [SOLVED] Problem z blokowaniem www przez firewall
Reguły do ssh masz pochrzanione, najpierw pozwalasz na wszystko, a potem chcesz ograniczać hashlimitem to, co już raz przepuściłeś?
I co w ten sposób ograniczysz?
Kod:
$IPTABLES -A INPUT -p tcp --dport 443 --syn -m limit --limit 5000/s -m state --state NEW -j ACCEPT
Skąd się wzięła ta reguła?
5000 pakietów syn na sekundę położy Apacha nawet na niemałym serwerze.
Zainteresuj się syncookies albo nowym modułem firewalla SYNPROXY,
a połączenia do Apacha limituj (liczba równoczesnych połączeń) CONNLIMITEM
- tyle wpuść, ile Apache ma ustawione w konfigu.
Możesz też delikatnie ograniczyć liczbę zapytań z jednego adresu/maski przy pomocy hashlimit, albo połączeń przy pomocy connlimit.
I w ogóle, zamiast kopiować bez zastanowaienia reguły mychą, lepiej zajrzyj do dokumentacji:
Sznurki:
http://pl.wikibooks.org/wiki/Sieci:Linux/Netfilter
http://jacekalex.sh.dug.net.pl/Iptables-packet-flow.png
To by było na tyle
;-)
Ostatnio edytowany przez Jacekalex (2013-11-29 18:41:42)
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
Strony: 1
- Forum Debian Users Gang
- » Sieci i serwery
- » [SOLVED] Problem z blokowaniem www przez firewall