主页 / server / 问题 / 603798
Accepted
Iraklis
Asked: 2014-06-10 02:16:38 +0800 CST

iptables连接限制在debian上不起作用[重复]

  • 772

我正在尝试设置一些基本的 DOS 保护。以下 iptables 规则适用于 CentOS 机器，但不适用于 debian (wheezy)。

#limit the parallel http requests to 50 per class C sized network    
iptables  -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 50 --connlimit-mask 24 -j REJECT --reject-with tcp-reset

我正在使用 GoldenEye DOS 工具（以及其他工具），并且在 CentOS 连接被成功拒绝，但是在 debian 盒子中没有任何反应（CPU 上升到 100%，apache 变得无响应）

知道可能会发生什么吗？规则已成功添加到 IPTABLES 规则列表

root@bedrock ~ # iptables -L | grep httpflags
REJECT     tcp  --  anywhere             anywhere             tcp dpt:httpflags: FIN,SYN,RST,ACK/SYN #conn src/24 > 50 reject-with tcp-reset

root@bedrock ~ # cat /etc/*-release
PRETTY_NAME="Debian GNU/Linux 7 (wheezy)"
NAME="Debian GNU/Linux"
VERSION_ID="7"
VERSION="7 (wheezy)"
ID=debian
ANSI_COLOR="1;31"
HOME_URL="http://www.debian.org/"
SUPPORT_URL="http://www.debian.org/support/"
BUG_REPORT_URL="http://bugs.debian.org/"

root@bedrock ~ # lsmod | grep ip
xt_multiport           12548  12
ipt_REJECT             12502  3
ipt_LOG                12605  8
iptable_mangle         12536  0
iptable_nat            12928  0
nf_nat                 18242  1 iptable_nat
nf_conntrack_ipv4      14078  16 nf_nat,iptable_nat
nf_defrag_ipv4         12483  1 nf_conntrack_ipv4
nf_conntrack           52720  5 nf_conntrack_ipv4,nf_nat,iptable_nat,xt_state,xt_connlimit
ip6table_filter        12540  0
ip6_tables             22175  1 ip6table_filter
iptable_filter         12536  1
ip_tables              22042  3 iptable_filter,iptable_nat,iptable_mangle
x_tables               19118  14 ip_tables,iptable_filter,ip6_tables,ip6table_filter,iptable_nat,iptable_mangle,xt_tcpudp,xt_state,xt_limit,ipt_LOG,ipt_REJECT,xt_multiport,xt_recent,xt_connlimit
ddos

1 个回答

  1. Best Answer

    这几乎肯定是一个规则排序问题。当规则匹配时，iptables/netfilter 停止处理数据包。使用-A开关将规则添加到链的末尾，因此您可能有一个更早的规则导致处理停止。

    • 1

相关问题