Forum Debian Users Gang

Odpowiem troszkoe szerzej, moze innym sie przyda.
Ja u siebie mam cosik takiego:

#ograniczenie ilosci otwartych sesji TCP do 150/host
iptables -I FORWARD -s 192.168.1.0/24 -p tcp --syn -m connlimit --connlimit-above 150 --connlimit-mask 32 -j DROP
iptables -I FORWARD -s IP_ZEWN_MISKA -p tcp --syn -m connlimit --connlimit-above 150 --connlimit-mask 32 -j DROP

#ograniczenie ICMP
iptables -A INPUT -p icmp -s 0/0 -m limit --limit 2/s --limit-burst 4 -j ACCEPT

#ograniczenie UDP
iptables -I FORWARD -p udp -s 192.168.1.0/24 -m limit --limit 30/s -j ACCEPT
iptables -I FORWARD -p udp -s IP_ZEWN_MISKA -m limit --limit 30/s -j ACCEPT

gdzie:
192.168.1.0/24 - siec LAN
IP_ZEWN_MISKA - ip zewnetrzne dla miska w lanie

wybierz i zastosuj to cczego potrzebujesz

Nicklodeon: hmm, co rozumiesz przez pojecie IP_ZEWN_MISKA ?? z twojego opisu wynika ze jest to ip zewnetrze serwra ( zakladajac ze jest tylko jeden nr ip zew. na ktory sa natowane wyszstkie adresy lokalne ). jezeli moje roumowanie jest dobre to reguly typu

iptables -I FORWARD -s IP_ZEWN_MISKA -p tcp --syn -m connlimit --connlimit-above 150 --connlimit-mask 32 -j DROP

nie maja sensu bo pakiety w łancuchy FORWARD nie beda mialy adresu zrodlwego IP_ZEWN_MISKA

co do ograniczania polaczen to wystarca reg. typu:

iptables -I FORWARD -s IP_LOKALNE_MISKA -p tcp --syn -m connlimit --connlimit-above 150 --connlimit-mask 32 -j DROP

poniewaz przy wprowadzeniu minimalnej polityki bezpieczenstwa twoj firewall nie powinein zezwalac na inicjowanie polaczen z zewnatrz a tylko hosty w lanie beza mogly takowe polaczenia tcp tworzyc.

Nicklodeon: hmm, co rozumiesz przez pojecie IP_ZEWN_MISKA ?? z twojego opisu wynika ze jest to ip zewnetrze serwra ( zakladajac ze jest tylko jeden nr ip zew. na ktory sa natowane wyszstkie adresy lokalne ). ...

Dla wyjasnienia :
w sieci wewnetrznej  (LAN) mam zarowno adresy lokalne i natowane na adres serwera jak rowniez adresy zewnetrzne (ip_zewn_miska rozne od ip serwera od strony WAN)
Nie jest to TYLKO JEDEN nr ip zewn, ale sa to ROZNE nr.

U mnie też nie działaja te regułki..

iptables: No chain/target/match by that name

to co trzeba patchowac iptables?

dodam od siebie: connlimit dosc dobrze radzi sobie z tpc ale jest maly problem: juz nie raz sie na grupach spodkalem i sam to przerabialem. jesli connlimit klienci "bombarduja" polaczeniami z roznych klientow p2p to modul zaczyna glupiec: dochodzilo nawet do sytuacji ze klient otwieral kilka razy wiecej polaczen niz mogl, a malo tego: czasami wszystko potrafilo "zwisnac" tzn. klient calkowicie tracil mozliwosc nawiazania nowych polaczen, pomagal tylko reboot.
czy zna ktos jakas alternatywe dla connlimit ??

pozdr

gdzies dotarlem kiedys na strone projektu: sam autor pisal w stylu - u mnie dziala ale nie gwarantuje ze u Was bedzie - czyli mowiac krotko connlimit jest "testing" i juz chyba takowy zostanie...


pozdr