Início / unix / Perguntas / 541534
Accepted
lonix
Asked: 2019-09-14 00:58:58 +0800 CST

Mapeando regra ufw para iptables

  • 772

Estou mudando do ufw para o iptables.

Existe uma regra padrão de "limite" no ufw, que entra em ação se um endereço IP iniciar mais de 6 conexões em 30 segundos ( sudo ufw limit ssh). Eu uso essa regra de limite para tráfego SSH (porta 22).

Eu li tantas maneiras diferentes de fazer isso no iptables, que é apenas confuso. Não tenho certeza se devo usar o connlimitou limitou algum outro módulo.

Qual é a maneira mais simples de mapear essa regra 1:1 para o iptables?

ubuntu

2 respostas

  1. ufwmanipula no iptables, então já que você está migrando do ufw, acho que você pode capturar seu iptables e ver o que o ufw faz lá.

    • 2
  2. Best Answer

    Usando a recentextensão

    Baseado na ideia do @Tomasz, criei a regra no ufw e inspecionei o resultado no iptables. Parece que o ufw usa a recentextensão:

    :LOG_REJECT - [0:0]

-A INPUT      -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -m recent --set
-A INPUT      -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 30 --hitcount 6 -j LOG_REJECT
-A INPUT      -p tcp -m tcp --dport 22                                                                         -j ACCEPT
-A LOG_REJECT                                                     -m limit --limit 3/min                       -j LOG --log-prefix "[LIMITED SSH]"
-A LOG_REJECT                                                                                                  -j REJECT --reject-with icmp-port-unreachable

    Usando a limitextensão

    O que é um pouco mais limpo/simples:

    :LOG_REJECT - [0:0]

-A INPUT      -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -m limit --limit 12/minute -j ACCEPT
-A INPUT      -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW                            -j LOG_REJECT
-A LOG_REJECT                                                     -m limit --limit 3/minute  -j LOG --log-prefix "[LIMITED SSH]" --log-level 7
-A LOG_REJECT                                                                                -j REJECT --reject-with icmp-port-unreachable

    (Embora eu não tenha certeza se icmp-port-unreachableé uma mensagem de rejeição adequada neste caso.)

    Usando a connlimitextensão

    ...talvez outra pessoa possa adicionar isso. :)

    • 1

relate perguntas