июля 20 2010 11:22 пп

Ограничение количества сессий с одного ip адреса

Если у вас вдруг возникнет необходимость ограничить количество сессий для айпи адресов в вашей локальной сети, то после прочтения данной заметки у вас будет готовое решение. Воспользуемся штатными возможностями пакетного фильтра iptables, а именно его модулями connlimit и recent. Модуль connlimit сильно расходует ресурсы машины, и использовать его рекомендуется только в маленьких сетях, да и работает он только с протоколом TCP.



Connlimit может ограничивать количество установленных tcp сессий для каждого клиента достаточно простым правилом, например пример приведенный ниже ограничит количество TCP сессий от каждого клиента из сети 172.16.0.0/12 в 200.

Код:

iptables -A FORWARD -s 172.16.0.0/12 -p tcp --syn -m connlimit --connlimit-above 200 -j DROP

Модуль recent работает по следующему принципу: первым правилом iptables вы назначаете пакетам удовлетворяющим определенным критериям уникальное имя которое впоследствии будет использоваться этим модулем для наложения ограничений. Например присвоим всем сетевым пакетам с состоянием NEW (новое соединение), проходящие через сетевой интерфейс eth0 нашего роутера имя SYNF. Код:

iptables -A FORWARD -i eth0 -m state --state NEW -m recent --set --name SYNF --rsource

Вторым правилом мы скажем модулю, что если от какого-то клиента таких пакетов помеченных как SYNF больше 10 за 10 секунд, то такие пакеты должны отбрасываться.

Код:

iptables -A FORWARD -i eth0 -m state --state NEW -m recent --update --seconds 10 --hitcount 10 --rttl --name SYNF --rsource -j DROP

Тестирование показало, что использование модуля recent не влияет на нагрузку роутера. Причем с помошью комбинации модулей state и recent можно делать достаточно интересные ограничения в сетевом трафике препятствуя распространению спама, флуда и пр.


Источник статьи: http://centos.alt.ru/?p=85




2 комментария »


2 комментария to “Ограничение количества сессий с одного ip адреса”

  1. Tweets that mention Ограничение количества сессий с одного ip адреса | Stepanoff Home Network -- Topsy.com on 21 Июл 2010 at 02:32 #

    […] This post was mentioned on Twitter by Максим Степанов, Максим Степанов. Максим Степанов said: New blog post: Ограничение количества сессий с одного ip адреса — http://tinyurl.com/2umb3dy […]

  2. Larodar on 29 Дек 2010 at 12:18 #

    Доброго дня.
    Чем отличается -m state —state NEW от —syn ?

Trackback URI | Comments RSS

Leave a Reply

You must be logged in to post a comment.


« | »

  • Реклама

  • Ссылки



  • Теги



Server load average: 0.03, 0.01, 0.00
Server uptime: 21 days, 3:59
Your IP is: 54.198.134.32.