Re: iptables limit vs conntrack

[Marco Gaiarin <marcogaio@libero.it>]

Mandi! Liga
  In chel di` si favelave...

> -A INPUT -p tcp --dport 22 -m limit --limit 5/sec -j ACCEPT

Mmmmhhhh... questa ha senso utilizzarla o per UDP, o per le connessioni TCP
ma su stato 'NEW', altrimenti rischi di stallare ssh come niente...


> -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
> -A INPUT -p tcp --dport 22 -m recent --update --seconds 60 --hitcount 5 -j DROP

Non conoscevo il modulo 'recent', ma leggendomi la manpage questa mi sembra
comunque una cagata.

Così accetti tutte le connesioni, e poi le stalli e/o le metti in difficoltà
quando superano le 5, mentre per me è sensato che accetti al massimo 5
connessioni in stato 'new'.

-- 
  Please note that free software should be interpreted as free speach
  while most seem to interprete it as free lunch.
						(Hugo van der Kooij)