[iptables] max. connections pro IP limitieren

Blutschlumpf · 5. Juli 2009

Situation folgende: Aktuell gibt es eine kleine Lücke in diversen Webserven (u.a. Apache) mit der man mit minimalem Aufwand Webserver durch Ausnutzen der TCP-Connections faktisch lahmlegen kann.

Ich möchte nun folgendes erreichen: Pro Client-IP sollen zu Port 80 max x connections erlaubt werden. Sofern möglich würde ich das gerne auf Systemebene machen und nciht über irgendwelche Apache-Module.
Kann mir da jemand kurz mit der Syntax helfen ? Mit dem conntracker hab ichs nur hinbekommen insgesammt oder bei explizit angegebene IPs die connections zu begrenzen, aber nicht auf x connection je IP.

Sensei21 · 5. Juli 2009

Linux Iptables Limit the number of incoming tcp connection / syn-flood attacks <-- sowas ?

vielleicht wäre es auch vorerst hilfreich zusätzlich die syn-cookies zu aktivieren ...

Blutschlumpf · 5. Juli 2009

Nein, hier geht es nicht um syn-floods, die connections werden vollständig aufgebaut, nur halt viel zu viele davon.
Ein lsof -i tcp zeigt nachher auch hunderte aktive Verbindungen an.
Wenn ich nur die neuen connections drosseln würde, dann dauerts zwar länger bis der lahmgelegt ist, aber wirklich helfen tut es nicht.

Sensei21 · 5. Juli 2009

Limit connection per ip

<-- hier scheints ein modul für apache zu geben,

man iptables

connlimit
Allows you to restrict the number of parallel connections to a server
per client IP address (or client address block).

[!] --connlimit-above n
Match if the number of existing connections is (not) above n.

--connlimit-mask prefix_length
Group hosts using the prefix length. For IPv4, this must be a
number between (including) 0 and 32. For IPv6, between 0 and
128.

Examples:

# allow 2 telnet connections per client host
iptables -A INPUT -p tcp --syn --dport 23 -m connlimit
--connlimit-above 2 -j REJECT

es sollte wohl schon gehen ...

mit iptables hab ich aber noch nicht so viel gemacht, kann dir hier leider also nciht helfen ...

Blutschlumpf · 5. Juli 2009

Code:

iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 -j REJECT --reject-with tcp-reset

Scheint zu funzen, hätte statt ner Stunde google einfach mal ins Handbuch schauen sollen

btw, dein Link loopt

Suche

[iptables] max. connections pro IP limitieren

Blutschlumpf

Fleet Admiral

Sensei21

Commander

Blutschlumpf

Fleet Admiral

Sensei21

Commander

Blutschlumpf

Fleet Admiral

Ähnliche Themen

Passend zum Thema

Linux-Desktop Vier Prozent Marktanteil waren keine Einmonatsfliege

Sicherheitslücke in xz Backdoor in Linux-Archivbibliothek macht Systeme angreifbar

Linux-Gaming DXVK 2.3.1 mit Performance-Spritze für Nvidia GeForce