☰

iptable 規則有時有效

tag-icon • tag-icon networking server iptables firewall
iptable 規則有時有效

我已封鎖向我發送大量 UDP 封包的攻擊者 IP。

iptables -I 輸入 1 -s IP_OF_ATTACKER -j DROP

這條規則運作得很好。

iptables -nvL --line-numbers

22G流量封鎖2-3天：

num   pkts bytes target     prot opt in     out     source               destination
1    3203K   22G DROP       all  --  *      *       ATTACKER_IP          0.0.0.0/0

然而，從最近兩三天開始，這個規則就不再運作了。攻擊者正在發送 UDP 封包，而 iptables 並沒有阻止它們。

num   pkts bytes target     prot opt in     out     source               destination
1     707K 3553M DROP       all  --  *      *       ATTACKER_IP         0.0.0.0/0

可能是什麼原因？

PS：如果他們有任何幫助，請不要建議聯繫託管提供商，我不會在這裡:)

編輯

我使用wireshark/tcpdump來分析/捕獲資料包。它顯示所有資料包都是UDP。我使用 iptables 命令（如上所述）來查看 iptables 規則阻止了多少資料。上面是 iptables 阻塞資料的輸出。當 iptable 阻止所有資料時，我們的伺服器工作一切正常。

**IP Table rules**
# Generated by iptables-save v1.4.21 on Mon Jun 15 23:26:40 2015
*raw
:PREROUTING ACCEPT [8393:667810]
:OUTPUT ACCEPT [7043:795032]
COMMIT
# Completed on Mon Jun 15 23:26:40 2015
# Generated by iptables-save v1.4.21 on Mon Jun 15 23:26:40 2015
*nat
:PREROUTING ACCEPT [2517:112725]
:INPUT ACCEPT [2517:112725]
:OUTPUT ACCEPT [1018:179752]
:POSTROUTING ACCEPT [1018:179752]
COMMIT
# Completed on Mon Jun 15 23:26:40 2015
# Generated by iptables-save v1.4.21 on Mon Jun 15 23:26:40 2015
*mangle
:PREROUTING ACCEPT [8393:667810]
:INPUT ACCEPT [8393:667810]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [7043:795032]
:POSTROUTING ACCEPT [7043:795032]
COMMIT
# Completed on Mon Jun 15 23:26:40 2015
# Generated by iptables-save v1.4.21 on Mon Jun 15 23:26:40 2015
*filter
:INPUT ACCEPT [23:1500]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [18:2068]
:fail2ban-ssh - [0:0]
-A INPUT -s xx.xxx.xx.xx/32 -j DROP
COMMIT
# Completed on Mon Jun 15 23:26:40 2015

答案1

我不完全理解你的 iptables 列表，或者它是如何變成這樣的。然而，似乎確實存在 nat 和 mangle 表，因此完全可以想像，您的問題資料包不會遍歷正常的 INPUT 鏈，而是在預路由階段通過另一條路徑（只會被遍歷）通過 iptables順便說一下，每個連接一次）。您可以嘗試新增：

sudo iptables -t raw -A PREROUTING -s IP_OF_ATTACKER -j DROP

我在我的測試計算機上這樣做了，它似乎工作正常：

$ sudo iptables-save -c
# Generated by iptables-save v1.4.21 on Tue Jun 16 11:12:51 2015
*raw
:PREROUTING ACCEPT [40:2664]
:OUTPUT ACCEPT [33:4520]
[31:2696] -A PREROUTING -s 192.168.111.103/32 -j DROP
COMMIT
# Completed on Tue Jun 16 11:12:51 2015
# Generated by iptables-save v1.4.21 on Tue Jun 16 11:12:51 2015
*nat
:PREROUTING ACCEPT [15:1344]
...

注意：我在你的網站上發布了同樣的答案Ubuntu 論壇發文。

相關內容