Re: iptables limit vs conntrack

[Liga <alessioligabue@gmail.com>]

>> -A INPUT -p tcp --dport 22 -m limit --limit 5/sec -j ACCEPT
> Mmmmhhhh... questa ha senso utilizzarla o per UDP, o per le connessioni TCP
> ma su stato 'NEW', altrimenti rischi di stallare ssh come niente...
i FW non sono la mia specialità :D
si in realtà manca qualche pezzo tipo:
--tcp-flags SYN
che dovrebbe fare il controllo sul SYN della connessione o ho frainteso?

>
>> -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
>> -A INPUT -p tcp --dport 22 -m recent --update --seconds 60 --hitcount 5 -j DROP
> Non conoscevo il modulo 'recent', ma leggendomi la manpage questa mi sembra
> comunque una cagata.

LOL'd ... hai ragione

in questo momento sto usando questa... sembra funzionare

-A INPUT -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -m recent
--set --name SSH --rsource
-A INPUT -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -m recent
--update --seconds 60 --hitcount 3 --name SSH --rsource -j TARPIT --tarpit

> Così accetti tutte le connesioni, e poi le stalli e/o le metti in difficoltà
> quando superano le 5, mentre per me è sensato che accetti al massimo 5
> connessioni in stato 'new'.
giusto