sockets - Iptables 防止泛洪

Question

我知道您可以限制每个 ip、每个时间间隔等的连接数，但我想要的是数据量。

我正在托管一个套接字服务器，我认为与其让它执行检查泛洪的处理，不如将其卸载到防火墙。我知道你可以防止 syn flooding 攻击，就像这里提到的:

http://www.cyberciti.biz/tips/howto-limit-linux-syn-attacks.html

例如:

# Limit the number of incoming tcp connections
# Interface 0 incoming syn-flood protection
iptables -N syn_flood
iptables -A INPUT -p tcp --syn -j syn_flood
iptables -A syn_flood -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A syn_flood -j DROP
#Limiting the incoming icmp ping request:
iptables -A INPUT -p icmp -m limit --limit  1/s --limit-burst 1 -j ACCEPT
iptables -A INPUT -p icmp -m limit --limit 1/s --limit-burst 1 -j LOG --log-prefix PING-DROP:
iptables -A INPUT -p icmp -j DROP
iptables -A OUTPUT -p icmp -j ACCEPT

我不确定 iptables 能做什么，所以这个问题有点含糊。但由于网络套接字使用 tcp，我应该能够限制每秒的字节数。并标记超过该限制的连接或直接丢弃它们，无论如何。

我似乎找不到这方面的好引用，因为它们都是关于跟踪连接等，而不是数据传输。有谁知道一个很好的引用或如何做到这一点？ iptables 不是一个好的防火墙吗？如果不是，那是什么？

Answer 1

内核端防火墙是最快和最安全的软件解决方案(很难杀死内核不是吗？)。使用它还具有使用某些网络 Controller 上的硬件防火墙的优势。Iptables 是控制它的主要工具，但是有 many others frontends语法更简单。

如果你想配置更简单，你应该使用这个: .
请记住，跟踪每个 IP 的字节数会占用大量内存。
在你的情况下，我会安装 ipset ，由同一个 iptables 团队开发:

#create ipset for accounting with default lifetime 300 secs
ipset create IP_QUOTA_SET hash:ip timeout 300 counters

#create separated rule chain
iptables --new-chain PER_IP_QOUTING

#send packets to chain
iptables -t filter -A INPUT \
  -i <in-iface> --dst <ip>  \
  -p tcp --dport <dstport>  \
  -j PER_IP_QUOTING

#if ip doesn't exist in the set, add it
iptables -t filter -A PER_IP_QUOTING    \
  -m set ! --match-set IP_QUOTA_SET src \
  -j SET --add-set IP_QUOTA_SET src --timeout 300

#if packet exists in the set, check bytes
#if byte counter > quota then drop packet
iptables -t filter -A PER_IP_QUOTING    \
  -m set --match-set IP_QUOTA_SET src   \
  --bytes-gr 1000 -j DROP

#pass other packets (for debug purpose)
iptables -t filter -A PER_IP_QUOTING \
  -j RETURN

在这种情况下，您可以检查列表并通过 ipset 命令对其进行编辑。
要显示带有计数器和超时的当前列表:ipset list IP_QUOTA_SET。

强烈注意: iptables 是特定于 Linux 的，从 linux 2.4 开始可用。用户空间工具的内核实现在之前的 2.0 和 2.2 中确实发生了变化。
3.13 版本引入了一个 new change它将取代 ipset；阿普表;电子表格； ip6tables 和 iptables 同一个工具。
与以前的版本一样，它们将是一个过渡期，在此期间，像 vuurmuur 这样的前端将与内核保持兼容，但不要指望将来会使用 iptables。