Хорошая утилита tcpdump

Собсно, многие наверное знают, что в лине есть замечательная штука, под названием tcpdump, но не многие хорошо с ней знакомы. Тут я приведу пример, как вычислить IP адреса, с которых идет большое кол. пакетов, т.е флуд, и т.д.
Чтобы вычислить плохие IP, я опишу действия в несколько шагов. Начнем, пожалуй.

Тут все просто:
-v - самый простой уровень логирования (чем больше v, тем более высокий уровень логирование, например -vvv, но в данном примере, нам это не требуется.)
-n - преобразование имени хоста в IP
-w - запись дампа в файл
-с - кол. захваченных пакетов
Если у вас на сервере, несколько IP, добавляем еще ключ -i с именем интерфейса, на котором нужный IP, т.е -i eth0; -i eth1:2
Пример:


Теперь, нам надо как-то из дампа вычислить плохие IP, для этого, используем слелующую комбинацию:

Тут думаю особо объяснять не надо, что к чему.
-r - чтение файлов.
awk - вывод 3 значения в строке.
grep - вывод только IP
sort - сортировка
uniq - тут подробнее, вобще, команда выводит только уникальные значения из списка, с ключем -с - вывод с кол. упоминаний значения.

В итоге, мы получаем список из 2ух столбцов, в 1ом - кол. пакетов, в 2ом - IP
Пример:

Дальше уже смотрим, есть ли плохие IP, и будем ли мы их банить.
По собственному опыту, скажу, норма ниже 100 пакетов. Кстати, кол. пакетов значительно отличается, если игрок со стимом или без.

Завтра напишу пример, как из полученного списка, выбирать IP c большим кол. пакетов.

Fire, Не подскажите что за ошибка и как исправить ?

Посмотрел порт 27015 :

Игрок 80.237.79.135 в тот момент на сервере присутствовал и соответственно и отсылал 125 пакетов, возникло пару вопросов :
1. Насколько это вредит игровому серверу и каналу в целом ?
2. И можно как-то это ограничить, запретить отсылать более 100 пакетов

Написал возможно хрень в вопросах, прошу простить, за возможную тупость.

запретить то можно только потом игрок отхавает choke / loss скорее всего. разве рейты и их ограничение не должны уменьшить обмен пакетами ?

Мои слова про 100 не нужно принимать за эталон. Каждый должен иметь свою голову на плечах и смотреть, прежде чем принимать какие-либо действия.
В любом случае, кол. пакетов зависит от настроек сервера, и ряда других вещей. Но при флуде, кол. пакетов с флудящих IP будет существенно выше, чем с валидных.

Хотел прикрепить сверху, но прав не хватает =(
ТС молодец...ну собственно как и всегда)

Собственно, небольшое дополнение.
Есть еще одна замечательная утилита - awk - утилита построчного разбора и обработки входящих потоков по заданным шаблонам.
Считается прородителем perl'a

Приступим.
В прошлой части, мы остановились на строке:

Которая выводит кол. пакетов и IP.
Сегодня, мы немного автоматизируем это действие с помощью awk
Пример скрипта:

Разберем:
if ($1 > 70) - условие, выбирать те строки, где $1 (первое значение из входящего списка) больше 20.
print $2 - уже вывод второго значения из входящего списка после обработки условия.
т.е мы выводим IP-адреса, с которых было более 70 пакетов. В качестве вывода, получится простой список IP в строку:


Далее, уже делаем что нам надо.
Можно сразу банить IP-ы, тогда строка будет выглядеть так:

Получаем такой вот список:

Но!, это только список, для выполнения этих команд, в строку нужно добавить |sh
т.е команда будет выглядеть уже так:

Обратите внимание, блокироватся будут IP у которых более 120 пакетов, на даный момент, считаю это оптимальным значением, но пять-же, зависит от ряда факторов.

И еще, советую не загаживать чепочку INPUT, посему, создадим отдельную цепочку, например hlban


Ну и модифицируем наш скрипт:


Смотреть список забаненных можно так:

Кол. забаенных:

Разбан IP'a:

Очистка цепочки:


to be continued...

а можно аналог под виндовс?
пробовал windump, вроде тоже что и это
но например
windump -v -n -w badips.log dst port 27015 -c 300
пишет неправильный синтаксис, убираю -с 300 все ок.

я пользуюсь tcpdump.exe

Решил немного дополнить тему. Сегодня расскажу как снимать не определенное кол. пакетов tcpdump'om, а сделать дамп определенного периода времени. Так-как сам tcpdump такого не умеет, мы будем использовать утилитку timeout, она есть во всех дистрибутивах и установлена по дефолту.
Что-бы сделать 5 секундный дамп, убираем счетчик пакетов -c N
Команда будет выглядеть так:

Далее уже смотрим дамп:

И как запустить в линуксе, в консоле или сделать что то вроде skript.sh ?