iptables vs udp flood

Собственно сабж. Подскажите правила для защиты.

Алсо от чего еще стоит защищаться? Ну такого неочевидного?)

Кстати да, интересная тема, можно конечно поставить ограничение пакетов, но это ппц...

Видел где-то правило на ограничение кол-ва поступающих пакетов с баном ип, которые флудят. Попробую найти, но одно но: сколько нужно ставить пакетов, чтобы не перебанило простых игроков?)

serejka,
не меньше 101 ,а лучше ваше 300 ,тк от 300 пакетов в секунду сервак еле еле будет дёргаться ,и небудут забанены игроки

Именно той статьи не нашел, но наткнулся на эту. Возможно, ее можно приспособить под 1.6
Еще хотелось бы узнать, как смотреть лог tcpdump? При вводе tcpdump в терминале там фиг что увидишь ))

Прикрепил часть хорошего учебника
 6.pdf ( 214,54 килобайт ) Кол-во скачиваний: 130

Ну а кто цепочкаи то поделится?)

Неужто никто не знает правила, с помощью которых можно ограничить кол-во пакетов, поступающих с одного ип на порт и бан того ип?

жадничают наверно,да там в принципе ничего сложного нет..завтра напишу себе правила,проканают или нет..
вот хорошая ссылочка всё подробно написано http://ru.wikipedia.org/wiki/Iptables
а можно же одновременно использовать в правилах conlimit и hashlimit !?
и клиент же использует одно соединение с сервером!?

я для блокировка брутфорса шела использую следующие строчки


соответственно 4 новых соединения за 1 минуту максимум можно...

само собой эти правила для TCP ... т.к. UDP не имеет двусторонних соединений, но думается, что ничего не мешает убрать state и просто оставить метку... тока хз как это будет отражаться в нагрузке на систему

ещё у меня есть такие вот строчки:


но это я не проверял. скорее всего не работает... у меня проверять негде, а вы при желание можете.

А где тут указывается сам порт, который слушает ssh?

serejka, в параметре --dport есесна. iptables может не только по циферкам ориентироваться, но и по названию сервисов. вот там и написано "ssh"

Кстати, хотелось бы уточнить размер пакетов. 32 байта?

serejka, врятли кто то так помнит или знает... я когда собирал пакеты для анализа, даже не смотрел на размеры, только на состав. да и зачем это?

Я не совсем точно задал вопрос. Мне нужен размер пакетов, которыми обменивается клиент с сервером. Можно же сделать, чтобы пакеты, размером, скажем, меньше 32 байт, просто дропались

serejka, не получится. размер пакета будет зависить от кол-ва передаваемых данных... и я не знаю, как там делятся данные на пакеты... может он компонует данные и то, что не влезло, в последний пакет, может отправиться в ещё одном, маленьком... по крайней мере так в tcp...

читать не хочется.

bravo,
от 30-40 до 1500 байт пакеты :)

Ну а сколько посоветуешь в ограничение ставить. Пакеты, которые будут меньше, будут игнорится.

serejka, советую не заниматься этой мыслью...

330863, откуда ты знаешь, может у меня mtu уменьшенное за счёт pptp тунеля... да и вообще, 1460 байт слишком большой диапазон для подобного ответа.

bravo,
при забитом серваке ,где большая карта ,и 32 игрока то размер пакета может дойти и до таких размеров (в моём случий на детране до таких доходит :) )