☰

Что мне нужно :

tag-icon • tag-icon firewall linux-networking denial-of-service
Что мне нужно :

Что мне нужно :

Существует множество результатов добавления правил сброса по количеству запросов за круг времени, но мне нужно выполнить сброс по количеству полученных байтов с определенного адреса за определенный период времени.

Что я исследовал:

Я посмотрел на iptables: в первом случае я увидел выделенныйсоответствовать. Я также виделсоответствие квотамно количество данных отслеживается глобально.
Я понятия не имею, как смешать два правила, чтобы отслеживать полученные данные по IP.

Другие вещи :

Я знаю, что отслеживание количества байтов на IP может использовать большой объем памяти, поэтому я также хочу, чтобы период был коротким.
Я могу принять другие методы, если для этого есть подробный пример.

решение1

Вы можете использовать IPSET с опциями таймаута и счетчика. Это будет выглядеть так:

#create ipset for accounting with default lifetime 300 secs
ipset create IP_QUOTA_SET hash:ip timeout 300 counters

#create separated rule chain
iptables --new-chain PER_IP_QUOTING

#send packets to chain
iptables -t filter -A INPUT \
  -i <in-iface> --dst <ip>  \
  -p tcp --dport <dstport>  \
  -j PER_IP_QUOTING

#if ip doesn't exist in the set, add it
iptables -t filter -A PER_IP_QUOTING    \
  -m set ! --match-set IP_QUOTA_SET src \
  -j SET --add-set IP_QUOTA_SET src --timeout 300

#if packet exists in the set, check bytes
#if byte counter > quota then close connection
#by sending of tcp-reset packet.
iptables -t filter -A PER_IP_QUOTING    \
  -m set --match-set IP_QUOTA_SET src   \
  --bytes-gt 1000 -j REJECT --reject-with tcp-rst

#pass other packets (for debug purpose)
iptables -t filter -A PER_IP_QUOTING \
  -j RETURN

В этом случае вы можете проверить список и отредактировать его командой ipset. Показать текущий список со счетчиками и таймаутами: ipset list IP_QUOTA_SET.

Подробности читайте в документации.

Связанный контент