2

Обьясните как это работает и почему после внесения этих правил, замедляется ответ от сервера к примеру при заходе на сайт идёт как-бы задержка, если убрать, все более менее работает быстро.

-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/sec -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -m limit --limit 1/sec -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK RST -j DROP
-A INPUT -p icmp -m icmp --icmp-type 8 -m limit --limit 1/sec -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
-A INPUT -p tcp ! --syn -m state --state NEW -j DROP
-A INPUT -p icmp -m icmp --icmp-type 5 -j DROP
2
  • 1
    Эм, ну как бы эти правила и предназначены для ограничения скорости. Что именно неясно? Есть конкретные вопросы?
    – Alexey Ten
    17 мая в 7:39
  • Для ограничения скорости чего именно ? То есть как это работает - что именно ограничивает - нужен реальный пример 17 мая в 7:41

1 ответ 1

2

Смотрим man itables-extensions:

limit

This module matches at a limited rate using a token bucket filter. A rule using this extension will match until this limit is reached. It can be used in combination with the LOG target to give limited logging, for example.

xt_limit has no negation support - you will have to use -m hashlimit ! --hashlimit rate in this case whilst omitting --hashlimit-mode.

  • --limit rate[/second|/minute|/hour|/day] -- Maximum average matching rate: specified as a number, with an optional /second, /minute, /hour, or /day suffix; the default is 3/hour.

  • --limit-burst number -- Maximum initial number of packets to match: this number gets recharged by one every time the limit specified above is not reached, up to this number; the default is 5.

Markdown скопирован из этого ответа.


Более подробная документация тут в limit match extensions.

Там же дан пример и указан график на превдографике на примере борьбы с DDOS акатами, собственно, вполне логичное применение. Если идёт непонятный интенсивный траффик, то он будет резаться по скорости, снизится нагрузка на сервер.

У вас лимиты стоят на icmp (Ping requests) и tcp. Всё что будет идти по udp резаться по скорости не будет.

Флаги FIN, SYN , RST, ACK подробно объяснены здесь:

Флаг Значение
FIN Указывает на то, что соединение разрывается. И отправитель, и получатель посылают пакеты FIN для изящного завершения соединения.
SYN Пакеты, которые используются для инициирования соединения.
RST Сигнализируют о разрыве соединения или о том, что служба не принимает запросы.
ACK Пакеты, которые используются для подтверждения того, что пакеты данных были получены, также используются для подтверждения запроса на инициирование и запроса на разрыв соединения.
8
  • Приведу пример, есть сайт который проверяет сайт аптайм с разных стран, если приведённые выше правила фаервола не убрать, тогда при проверке сайт выдаёт максимум 5-6 позитивных ответов, если убрать, проверка происходит мгновенно, с успехом всех стран. Я так понимаю проблема именно в применении технологии проверки этого сайта, так как он возможно с одного айпи шлет сервер запросы просле 5-6 которых сервер - игнорирует остальные ? 17 мая в 8:51
  • @webstackoverload лимит вы поставили 1/sec, --limit-burst по дефолту 5, поэтому у вас рубит после 5. Если есть желание сохранить лимиты и не рубить после 5, можете попробовать указать число повыше. --limit 1/sec --limit-burst 15 -j ACCEPT
    – DiMithras
    17 мая в 8:56
  • Спасибо ! --limit-burst - действительно работает, увеличиваю значение и увеличивается пробивка аптайма - т.е больше успехов. Вопрос, а можно это как-то отслеживать, к примеру данное правило именно на сервере ? К примеру смотреть кто обращается и когда срабатывает к примеру обрыв (блок) итд ? 17 мая в 9:13
  • Просто я тут подумал если блочит проверку, то что будет если зайдет к примеру поисковый бот гугла и начнет делать запросы ? 17 мая в 9:16
  • 1
    Спасибо, я сразу удалил ufw. Если изучать, так только - хардкор. 17 мая в 9:43

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.