DOS/DDOS攻击的iptables主动防御

最新推荐文章于 2025-05-12 10:47:40 发布

atec2000

最新推荐文章于 2025-05-12 10:47:40 发布

阅读量6.1k

点赞数 1

分类专栏：运维

运维专栏收录该内容

52 篇文章

订阅专栏

本文介绍如何使用iptables限制HTTP端口的最大连接数及新连接速率，包括限制80端口最大连接数为10的方法，以及利用recent模块实现60秒内超过10个新连接即记录日志并丢弃数据包的技术细节。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.限制与80端口连接的IP最大连接数为10，可自定义修改。

代码如下	复制代码
iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 -j DROP

2.使用recent模块限制同IP时间内新请求连接数，recent更多功能请参考：Iptables模块recent应用。

代码如下

复制代码

iptables -A INPUT -p tcp --dport 80 --syn -m recent --name webpool --rcheck --seconds 60 --hitcount 10 -j LOG --log-prefix 'DDOS:' --log-ip-options
#60秒10个新连接，超过记录日志。
iptables -A INPUT -p tcp --dport 80 --syn -m recent --name webpool --rcheck --seconds 60 --hitcount 10 -j DROP
#60秒10个新连接，超过丢弃数据包。
iptables -A INPUT -p tcp --dport 80 --syn -m recent --name webpool --set -j ACCEPT
#范围内允许通过。

上面的相对比较简单，下面我来分析更具体的配置方法。CentOS/Redhat/Fedora

在服务器执行

代码如下

复制代码

vi /etc/sysconfig/iptables
删除原来的内容输入如下内容保存
# Generated by iptables-save v1.3.5 on Sun Dec 12 23:55:59 2010
*filter
:INPUT DROP [385263:27864079]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4367656:3514692346]
-A INPUT -i lo -j ACCEPT
-A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -s 127.0.0.1 -j ACCEPT
-A INPUT -p tcp -m tcp –dport 80 -m state –state NEW -m recent –set –name WEB –rsource
-A INPUT -p tcp -m tcp –dport 80 -m state –state NEW -m recent –update –seconds 5 –hitcount 20 –rttl –name WEB –rsource -j DROP
-A INPUT -p tcp -m multiport –ports 21,22,80 -j ACCEPT
-A INPUT -p tcp -m tcp –tcp-flags SYN,RST,ACK SYN -m ttl –ttl-eq 117 -j DROP
-A INPUT -p tcp -m tcp –tcp-flags SYN,RST,ACK SYN -m length –length 0:40 -j DROP
-A INPUT -p tcp -m tcp ! –tcp-flags SYN,RST,ACK SYN -m state –state NEW -j DROP
COMMIT
# Completed on Sun Dec 12 23:55:59 2010

说明此设定仅对外开放21(FTP),22(SSH),80(http网站）三个TCP端口。设置80端口5秒内20个连接

以上技术应用于最优质的水果的鲜果篮