Log in

Tobias

Hallo Community,

ich möchte an dieser Stelle einige IP-Tables Regeln mit euch Teilen, welche ich bei einem DDoS Angriff für sehr sinnvoll halte.

Beschränkung der Verbindungen pro Sekunde auf Port 80:

Code:

iptables -A INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent --set

iptables -A INPUT -p tcp --dport 80 -i eth0 -m state --state NEW -m recent --update --seconds 80 --hitcount 10 -j DROP

Diese Einstellungen sorgen dafür, dass kein Client mehr als 10 Verbindungen in 80 Sekunden auf Port 80 aufbaut. Jede IP, welche die Regel überschreitet wird permanent gesperrt.

IP-Sperre bei zu vielen Verbindungen:

Code:

iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 15 -j REJECT --reject-with tcp-reset

Diese Regel sorgt dafür, dass alle IP-Adressen, welche mehr als 15 Verbindungen gleichzeitig offen haben gesperrt werden.

Regeln für den SynFlood

Code:

iptables -N syn_flood

iptables -A INPUT -p tcp --syn -j syn_flood

iptables -A syn_flood -m limit --limit 1/s --limit-burst 3 -j RETURN

iptables -A syn_flood -j DROP

Diese Regeln können als Vorsorge für einen bevorstehenden oder laufenden Syn-Flood verwendet werden.

Hinweise:
1. Es besteht die Möglichkeit, dass ihr das Device von eth0 in euer Device ändern müsst. Aufschluss gibt hier der Befehl "ifconfig".
2. Wer den Fehler "iptables: No chain/target/match by that name" erhält, dem fehlen entscheidende Kernelmodule.

Schlusswort:
Ich empfehle die Kombination aus allen 3 Regelabschnitten, richtig angepasst ersparen diese viel Arbeit und Traffic.

Gruß Tobi

***Florian Reith*** · 22-02-2011, 04:21 PM

Tobias schrieb:
2. Wer den Fehler "iptables: No chain/target/match by that name" erhält, dem fehlen entscheidende Kernelmodule.
Gruß Tobi

Möglicherweise reicht es auch die Module zu aktivieren

Code:

modprobe ip_tables

modprobe iptable_filter

modprobe ip_conntrack

modprobe ip_conntrack_ftp

modprobe ipt_state

modprobe ipt_LOG

Speddy20537 · 08-04-2012, 04:30 AM

kann es sein das sich in der gepackten datei sich ein viren befindet denn bei mir hier spielt mein viren progie verückt benutze kaspersky.

mcandy007 · 10-04-2012, 08:25 PM

Bei dem erkannten Virus handelt es sich scheinbar um eine Falschmeldung.
Erkannt wurde EICAR ( http://de.wikipedia.org/wiki/EICAR-Testdatei)

MFG