iptables - 使用 iptables 阻止网络机器人

Question

我正在尝试阻止在短时间内打开大量连接的网络机器人。我正在使用这个语法:

-A INPUT -p tcp --dport 80 -m state --state NEW -m recent --set
-A INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 1 --hitcount 20 -j logdropconnection

我的问题是，如果 iptables 不抛出错误，我就无法放宽这些参数。当我尝试将命中计数增加到 20 以上时，出现错误。我不应该能够将其设置为我想要的任何内容吗？例如，将我的连接数限制为 100/秒？

Answer 1

由于您没有提及问题中的错误，我会大胆猜测 dmesg 显示此错误:


xt_recent:命中计数(100)大于要记住的数据包(20)


这是 xt_recent(有时称为 ipt_recent)内核模块的设置。

您可以通过更新(或创建)/etc/modprobe.d/options.conf来增加限制:


选项 xt_recent ip_pkt_list_tot=100


注意:在具有内核共享功能的 VPS 主机上实现这可能会出现问题。