IPTABLE 减轻 DDOS 的设定
时间:2012-02-07 19:29 来源:www.stuhack.com 作者: 点击:次
# Make sure NEW tcp connections are SYN packets iptables -N syn-flood iptables -A INPUT -p tcp --syn -j syn-flood iptables -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN iptables -A syn-flood -j DROP iptables -A INPUT -i eth0
# Make sure NEW tcp connections are SYN packets
iptables -N syn-flood
iptables -A INPUT -p tcp --syn -j syn-flood
iptables -A syn-flood -m limit --limit 1/s --limit-burst 4 -j RETURN
iptables -A syn-flood -j DROP
iptables -A INPUT -i eth0 -p tcp ! --syn -m state --state NEW -j DROP
#SYN_RECV
echo "1" > /proc/sys/net/ipv4/tcp_syncookies 0
echo "10" > /proc/sys/net/ipv4/tcp_fin_timeout 60
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all 0
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 0
echo "5000" > /proc/sys/net/ipv4/tcp_max_syn_backlog 1024
#TIME_WAIT
echo "180000" > /proc/sys/net/ipv4/tcp_max_tw_buckets 180000
echo "1" > /proc/sys/net/ipv4/tcp_rfc1337 0
echo "1" > /proc/sys/net/ipv4/tcp_tw_recycle 0
echo "1" > /proc/sys/net/ipv4/tcp_tw_reuse 0
echo "5" > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_time_wait 120
echo "10" > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_syn_recv 60
echo "10" > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_syn_sent 120
防止同步包洪水（Sync Flood）
# iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
也有人写作
#iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT
--limit 1/s 限制syn并发数每秒1次，可以根据自己的需要修改
防止各种端口扫描
# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
Ping洪水攻击（Ping of Death）
# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
本文标题：IPTABLE 减轻 DDOS 的设定
本文地址：http://www.stuhack.com/linux/jiqiao/2012/0207/74817.html
免责声明：本文仅代表作者个人观点，与本站无关。其原创性以及文中陈述文字和内容未经本站证实，对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺，请读者仅作参考，并请自行核实相关内容。
黑ICP备05002849号