当前位置:首页 » 综合信息 » 正文

linux中Iptables限制同一IP连接数防CC/DDOS攻击方法

686 人参与  2019年01月31日 21:04  分类 : 综合信息  评论


1.限制与80端口连接的IP最大连接数为10,可自定义修改。


 代码如下:

iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 -j DROP



2.使用recent模块限制同IP时间内新请求连接数,recent更多功能请参考:Iptables模块recent应用。


 代码如下:

iptables -A INPUT -p tcp --dport 80 --syn -m recent --name webpool --rcheck --seconds 60 --hitcount 10 -j LOG --log-prefix 'DDOS:' --log-ip-options 

#60秒10个新连接,超过记录日志。 

iptables -A INPUT -p tcp --dport 80 --syn -m recent --name webpool --rcheck --seconds 60 --hitcount 10 -j DROP 

#60秒10个新连接,超过丢弃数据包。 

iptables -A INPUT -p tcp --dport 80 --syn -m recent --name webpool --set -j ACCEPT 

#范围内允许通过。



上面的相对比较简单,下面我来分析更具体的配置方法。CentOS/Redhat/Fedora


在服务器执行


 代码如下 复制代码

vi /etc/sysconfig/iptables

删除原来的内容输入如下内容 保存

# Generated by iptables-save v1.3.5 on Sun Dec 12 23:55:59 2010

*filter

:INPUT DROP [385263:27864079]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [4367656:3514692346]

-A INPUT -i lo -j ACCEPT

-A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT

-A INPUT -p icmp -j ACCEPT

-A INPUT -s 127.0.0.1 -j ACCEPT

-A INPUT -p tcp -m tcp –dport 80 -m state –state NEW -m recent –set –name WEB –rsource

-A INPUT -p tcp -m tcp –dport 80 -m state –state NEW -m recent –update –seconds 5 –hitcount 20 –rttl –name WEB –rsource -j DROP

-A INPUT -p tcp -m multiport –ports 21,22,80 -j ACCEPT

-A INPUT -p tcp -m tcp –tcp-flags SYN,RST,ACK SYN -m ttl –ttl-eq 117 -j DROP

-A INPUT -p tcp -m tcp –tcp-flags SYN,RST,ACK SYN -m length –length 0:40 -j DROP

-A INPUT -p tcp -m tcp ! –tcp-flags SYN,RST,ACK SYN -m state –state NEW -j DROP

COMMIT

# Completed on Sun Dec 12 23:55:59 2010

说明此设定仅对外开放21(FTP),22(SSH),80(http网站)三个TCP端口。设置80端口5秒内20个连接


重启iptables服务 /etc/init.d/iptables restart

设定iptables随机启动chkconfig iptables on


打赏

本文链接:https://www.zhaodll.cn/postd6527.html

<< 上一篇 下一篇 >>

Copyright www.zhaodll.cn Rights Reserved. 沪ICP备15055056号 沪公网安备 31011602001667号