Основи роботи з iptables
В даній статті буду розглядати, на конкретних прикладах, як можна налаштувати фаєрвол на сервері.
1. Обмеження кількості конектів до шлюза за допомогою iptables. Обрізаєм злісних качальників торентами:
Шлюз: Slackware Linux 13.37
Linux rm-proxy 2.6.37.6-smp #2 SMP Sat Apr 9 23:39:07 CDT 2011 i686 GNU/Linux
iptables-1.4.10
Кількість конектів будем обмежувати в таблиці filter, ланцюгу FORWARD для конкретного ІР. Так, як всі з'єднання, які ідуть в інтернет проходять даний ланцюг.
iptables -A FORWARD -p tcp --syn -s 192.168.0.160 -m connlimit --connlimit-above 5 --connlimit-mask 32 -j REJECT
Для контролю потрапляння пакетів в даний ланцюг використовуємо:
iptables -vL
6221 299K REJECT tcp -- any any 192.168.0.160 anywhere tcp flags:FIN,SYN,RST,ACK/SYN #conn/32 > 5 reject-with icmp-port-unreachable
1. Обмеження кількості конектів до шлюза за допомогою iptables. Обрізаєм злісних качальників торентами:
Шлюз: Slackware Linux 13.37
Linux rm-proxy 2.6.37.6-smp #2 SMP Sat Apr 9 23:39:07 CDT 2011 i686 GNU/Linux
iptables-1.4.10
Кількість конектів будем обмежувати в таблиці filter, ланцюгу FORWARD для конкретного ІР. Так, як всі з'єднання, які ідуть в інтернет проходять даний ланцюг.
iptables -A FORWARD -p tcp --syn -s 192.168.0.160 -m connlimit --connlimit-above 5 --connlimit-mask 32 -j REJECT
Для контролю потрапляння пакетів в даний ланцюг використовуємо:
iptables -vL
6221 299K REJECT tcp -- any any 192.168.0.160 anywhere tcp flags:FIN,SYN,RST,ACK/SYN #conn/32 > 5 reject-with icmp-port-unreachable
Comments
Post a Comment