Iptables + módulo recent
Como este módulo está se difundindo bastante ultimamente, resolvi escrever um pequeno artigo descrevendo esse poderoso recurso que o iptables nos oferece. Com ele você poderá criar regras dinâmicas com uma determinada resposta ou ação quando ativada.
[ Hits: 63.706 ]
Por: Ivan de oliveira Santos em 19/10/2006 | Blog: http://www.hitk.com.br
O módulo recent
Antes farei uma breve explicação do módulo recent e suas opções. Se no prompt digitarmos:
# iptables -m recent -help
Teremos o seguinte resultado (vou filtrar apenas para focar o que diz respeito ao recent):
recent v1.2.11 options
[!] --set: Add source address to list, always matches
[!] --rcheck: Match if source address in list.
[!] --update: Match if source address in list, also update last-seen time.
[!] --remove: Match if source address in list, also removes that address from list.
--seconds seconds: For check and update commands above. Specifies that the match will only occur if source address last seen within the last 'seconds' seconds.
--hitcount hits: For check and update commands above. Specifies that the match will only occur if source address seen hits times. May be used in conjunction with the seconds option
--rttl: For check and update commands above. Specifies that the match will only occur if the source address and the TTL match between this packet and the one which was set. Useful if you have problems with people spoofing their source address in order to DoS you via this module.
--name name: Name of the recent list to be used. DEFAULT used if none given.
--rsource: Match/Save the source address of each packet in the recent list table (default).
--rdest: Match/Save the destination address of each packet in the recent list table.
ipt_recent v0.3.1: Stephen Frost <sfrost@snowman.net.
http://snowman.net/projects/ipt_recent/
Minha versão:
recent v1.2.11 options
[!] --set: Adiciona um endereço à lista.
[!] --rcheck: Verifica se um endereço de origem existe na lista.
[!] --update: Atualiza um endereço de origem na lista, atualizando também o seu tempo.
[!] --remove: Verifica e se estiver na lista remove o endereço de origem.
--seconds seconds: Funciona junto com os comandos de atualização e verificação citados acima. Especifica que o match ocorrerá somente se o último endereço da origem estiver dentro do último 'seconds' segundos.
--hitcount hits: Funciona com os comandos de verificação e atualização. verificando se existe entradas (hits) na lista do endereço de origem até aquele momento. Sendo muito usado com a opção --seconds.
--rttl: Funciona junto com os comandos de verificação e atualização. verificando qual o tamanho do TTL (time to Live) do endereço de origem e comparando com o da lista. Podendo ser usado quando identificar problemas de spoofing ou DoS.
--name name: Seta o nome da lista. O nome DEFAULT é usado quando não é especificado nenhum nome.
--rsource: Salva o endereço de origem de cada pacote na lista.
--rdest: Salva o endereço de destino na tabela/lista.
# iptables -m recent -help
Teremos o seguinte resultado (vou filtrar apenas para focar o que diz respeito ao recent):
recent v1.2.11 options
[!] --set: Add source address to list, always matches
[!] --rcheck: Match if source address in list.
[!] --update: Match if source address in list, also update last-seen time.
[!] --remove: Match if source address in list, also removes that address from list.
--seconds seconds: For check and update commands above. Specifies that the match will only occur if source address last seen within the last 'seconds' seconds.
--hitcount hits: For check and update commands above. Specifies that the match will only occur if source address seen hits times. May be used in conjunction with the seconds option
--rttl: For check and update commands above. Specifies that the match will only occur if the source address and the TTL match between this packet and the one which was set. Useful if you have problems with people spoofing their source address in order to DoS you via this module.
--name name: Name of the recent list to be used. DEFAULT used if none given.
--rsource: Match/Save the source address of each packet in the recent list table (default).
--rdest: Match/Save the destination address of each packet in the recent list table.
ipt_recent v0.3.1: Stephen Frost <sfrost@snowman.net.
http://snowman.net/projects/ipt_recent/
Minha versão:
recent v1.2.11 options
[!] --set: Adiciona um endereço à lista.
[!] --rcheck: Verifica se um endereço de origem existe na lista.
[!] --update: Atualiza um endereço de origem na lista, atualizando também o seu tempo.
[!] --remove: Verifica e se estiver na lista remove o endereço de origem.
--seconds seconds: Funciona junto com os comandos de atualização e verificação citados acima. Especifica que o match ocorrerá somente se o último endereço da origem estiver dentro do último 'seconds' segundos.
--hitcount hits: Funciona com os comandos de verificação e atualização. verificando se existe entradas (hits) na lista do endereço de origem até aquele momento. Sendo muito usado com a opção --seconds.
--rttl: Funciona junto com os comandos de verificação e atualização. verificando qual o tamanho do TTL (time to Live) do endereço de origem e comparando com o da lista. Podendo ser usado quando identificar problemas de spoofing ou DoS.
--name name: Seta o nome da lista. O nome DEFAULT é usado quando não é especificado nenhum nome.
--rsource: Salva o endereço de origem de cada pacote na lista.
--rdest: Salva o endereço de destino na tabela/lista.
Páginas do artigo
1. Introdução2. O módulo recent
3. Exemplo1 - Brute force
4. Exemplo2 - Port knocking
5. Último exemplo e final - Personal PortKnocking
Outros artigos deste autor
Nenhum artigo encontrado.
Leitura recomendada
Criando um firewall simples e compartilhando a conexão usando o IPtables
Bloqueando o UltraSurf e o WebMessenger do Hotmail com Proxy Transparente
Slackware 11 + kernel-2.6.18 + Layer7 + iptables
Abrindo "passagem" para clientes de correio
Comentários
[1] Comentário enviado por fabio em 19/10/2006 - 03:53h
Cara, muito bom esse recurso. Excelente artigo, já está nos meus favoritos :)
um abraço
Cara, muito bom esse recurso. Excelente artigo, já está nos meus favoritos :)
um abraço
[2] Comentário enviado por tatototino em 19/10/2006 - 07:26h
Muito bom, parabéns!
Depois vou testá-lo!
Até mais!
Muito bom, parabéns!
Depois vou testá-lo!
Até mais!
[4] Comentário enviado por eudson em 19/10/2006 - 10:16h
Kra muito interessante mesmo, ha um bom tempo eu estava atraz desse recurso!!!
Já ta na minha lista de estudos!
Kra muito interessante mesmo, ha um bom tempo eu estava atraz desse recurso!!!
Já ta na minha lista de estudos!
[5] Comentário enviado por davidsonbhz em 19/10/2006 - 10:35h
Gostei! Bem explicado e com exemplos práticos. Vou testar por aqui
Gostei! Bem explicado e com exemplos práticos. Vou testar por aqui
[6] Comentário enviado por peregrino em 19/10/2006 - 17:39h
cara muito bom mesmo parabens so gostaria que tivesse uma continuação desse ou ter mais algumas opções boas como esta
falow
cara muito bom mesmo parabens so gostaria que tivesse uma continuação desse ou ter mais algumas opções boas como esta
falow
[8] Comentário enviado por segundow em 19/10/2006 - 21:54h
Melphos....
gostei muito do seu artigo, muito útil e rico para a comunidade. Vou testar essa funcionalidade aqui, eu particularmente não a conhecia. Já até pensei na possibilidade de fazer tratamento nas regras para os clientes que não possuem IP fixo (será um benção)!
Você conhece mais algum artigo ou poderia nos passar mais algum documento para enriquecimento sobre o recent?
Grande abraço
Segundow
Melphos....
gostei muito do seu artigo, muito útil e rico para a comunidade. Vou testar essa funcionalidade aqui, eu particularmente não a conhecia. Já até pensei na possibilidade de fazer tratamento nas regras para os clientes que não possuem IP fixo (será um benção)!
Você conhece mais algum artigo ou poderia nos passar mais algum documento para enriquecimento sobre o recent?
Grande abraço
Segundow
[9] Comentário enviado por melphos em 14/11/2006 - 13:25h
Então campeão,
O módulo recent é pouco documentado mesmo, já vi muitas coisas nele na grande rede mas a maioria para bloquear ataques de brute force. No próprio site da netfilter.org tem apenas o que complementei no artigo, descrição de cada item.
O que você pode fazer é junta-lo com outros módulos, por exemplo:
Módulo time:
iptables -N HourSSH
iptables -A INPUT -p tcp -m time --timestart 09:00 --timestop 18:00 --days Mon,Tue,Wed,Thu,Fri -m state --state NEW -m recent --set --name HourSSH --dport 22 -i eth1 -j HourSSH
iptables -A HourSSH -p tcp -m state --state NEW -m recent --check --name HourSSH --seconds 60 --hitcount 3 -j DROP
Bloqueio no período das 9h as 18h que o SSH fique liberado, e se tentarem se conectar mais de 2 vezes em um período de tempo de 60 segundos, será bloqueado o seu acesso.
Da para usar a imaginação !!!
Boa sorte,
Ivan Santos
Então campeão,
O módulo recent é pouco documentado mesmo, já vi muitas coisas nele na grande rede mas a maioria para bloquear ataques de brute force. No próprio site da netfilter.org tem apenas o que complementei no artigo, descrição de cada item.
O que você pode fazer é junta-lo com outros módulos, por exemplo:
Módulo time:
iptables -N HourSSH
iptables -A INPUT -p tcp -m time --timestart 09:00 --timestop 18:00 --days Mon,Tue,Wed,Thu,Fri -m state --state NEW -m recent --set --name HourSSH --dport 22 -i eth1 -j HourSSH
iptables -A HourSSH -p tcp -m state --state NEW -m recent --check --name HourSSH --seconds 60 --hitcount 3 -j DROP
Bloqueio no período das 9h as 18h que o SSH fique liberado, e se tentarem se conectar mais de 2 vezes em um período de tempo de 60 segundos, será bloqueado o seu acesso.
Da para usar a imaginação !!!
Boa sorte,
Ivan Santos
[10] Comentário enviado por acelere em 06/12/2006 - 20:09h
Pois é Melphos,
adicionei as regras que vc postou mas elas não conseguiram barrar ataques ao ssh2.
Acho que o problema é que o ssh2 usa outras portas além da 22. O meu log contem várias linhas com:
... failed password for invalid user ZZZ from xxx.ccc.xxx.ccc port 47653 ssh2
Claro que o numero 47653 varia bastante.
Tentei uma vasculhada para saber se as portas do ssh2 eram padrão, mas não achei um "port range".
Vc tem alguma dica de regra que barre esse tipo de ataque?
Valeu,
acelere
Pois é Melphos,
adicionei as regras que vc postou mas elas não conseguiram barrar ataques ao ssh2.
Acho que o problema é que o ssh2 usa outras portas além da 22. O meu log contem várias linhas com:
... failed password for invalid user ZZZ from xxx.ccc.xxx.ccc port 47653 ssh2
Claro que o numero 47653 varia bastante.
Tentei uma vasculhada para saber se as portas do ssh2 eram padrão, mas não achei um "port range".
Vc tem alguma dica de regra que barre esse tipo de ataque?
Valeu,
acelere
[11] Comentário enviado por melphos em 07/12/2006 - 12:05h
Olá campeão,
Este artigo se aplica a qualquer tipo de versão do SSH, principalmente a versão 2 do SSH. E o SSH versão 2, não usa outros ranges de portas igual ao ftp por exemplo. Se não está bloqueando você deve verificar suas regras anteriores, ver se tem alguma regra que está liberando o ataque.
Para deixar um pouco mais claro, essa porta 47653, não é a porta que o SSH está escutando, e sim a porta que o ataque está originando. Basicamente, é a porta de origem.
Voltando ao artigo, a um detalhe que descobri esses dias quando fui instalar alguns firewall's no cliente. Seguinte, para distribuições como Suse, Red Hat, essas regras precisam estar em uma ordem correta, ou melhor dizendo, precisa criar uma CHAIN para enviar os pacotes com destino a porta 22 para está CHAIN e tratar com o módulo recent dentro dela, e depois voltar a CHAIN de origem. Pode ser isto que está acontecendo no seu caso.
Qualquer coisa,
Não exite em comunicar,
Abraços e boa sorte,
Ivan Santos
Olá campeão,
Este artigo se aplica a qualquer tipo de versão do SSH, principalmente a versão 2 do SSH. E o SSH versão 2, não usa outros ranges de portas igual ao ftp por exemplo. Se não está bloqueando você deve verificar suas regras anteriores, ver se tem alguma regra que está liberando o ataque.
Para deixar um pouco mais claro, essa porta 47653, não é a porta que o SSH está escutando, e sim a porta que o ataque está originando. Basicamente, é a porta de origem.
Voltando ao artigo, a um detalhe que descobri esses dias quando fui instalar alguns firewall's no cliente. Seguinte, para distribuições como Suse, Red Hat, essas regras precisam estar em uma ordem correta, ou melhor dizendo, precisa criar uma CHAIN para enviar os pacotes com destino a porta 22 para está CHAIN e tratar com o módulo recent dentro dela, e depois voltar a CHAIN de origem. Pode ser isto que está acontecendo no seu caso.
Qualquer coisa,
Não exite em comunicar,
Abraços e boa sorte,
Ivan Santos
[12] Comentário enviado por acelere em 12/12/2006 - 08:26h
Ok,
Vamos ver se eu consigo:
1) crio a CHAIN:
iptables -N melphos
2) mando para esta CHAIN os pacotes da porta 22:
iptables -A melphos -p TCP --dport 22 --syn -j ACCEPT
E depois?
Como eu coloco o filtro usando o recent dentro dessa CHAIN?
Como os outros pacotes passam por esta CHAIN?
Como eu faço para voltar à CHAIN de origem?
Sei que isso não é um tutorial de iptables, mas acho que completa o seu artigo!
Grato,
acelere
Ok,
Vamos ver se eu consigo:
1) crio a CHAIN:
iptables -N melphos
2) mando para esta CHAIN os pacotes da porta 22:
iptables -A melphos -p TCP --dport 22 --syn -j ACCEPT
E depois?
Como eu coloco o filtro usando o recent dentro dessa CHAIN?
Como os outros pacotes passam por esta CHAIN?
Como eu faço para voltar à CHAIN de origem?
Sei que isso não é um tutorial de iptables, mas acho que completa o seu artigo!
Grato,
acelere
[13] Comentário enviado por elgio em 29/08/2007 - 10:48h
Meu amigo!
Muito bom este teu artigo.
Eu tinha, amadoramente, tentado bloquear este force brute SSH com limit, limitando a 10/m. Problema: meus usuários legítimos acabavam não conseguindo logar-se por que o limite já tinha estourado. Ai eu abri uma porta alternativa para eles e divulguei...
Mas agora, com o modulo recent, lendo teu artigo eu fiz:
# Aceita de um mesmo IP somente 3 por minuto
iptables -A INPUT -i eth0 -p tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -m recent --set --name SSH
iptables -A INPUT -i eth0 -p tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -m recent --update --seconds 60 --hitcount 3 --name SSH -j REJECT
# mesmo tendo passado pela regra acima (3 por minuto), aceita somente 30 por dia
iptables -A INPUT -i eth0 -p tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -m recent --set --name SSH2
iptables -A INPUT -i eth0 -p tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -m recent --update --seconds 86400 --hitcount 30 --name SSH2 -j REJECT
A ideia é limitar 3 por minuto, mas se o cara vai no ritmo, tentando até 30 por dia (outra lista) ai ele fica na geladeira por 24 horas! Se o robozinho do cara respeitar o 3/min, em 10 min ele estoura o segundo limite e dançou! Só amanhã!
Pus no ar agora.
Meu amigo!
Muito bom este teu artigo.
Eu tinha, amadoramente, tentado bloquear este force brute SSH com limit, limitando a 10/m. Problema: meus usuários legítimos acabavam não conseguindo logar-se por que o limite já tinha estourado. Ai eu abri uma porta alternativa para eles e divulguei...
Mas agora, com o modulo recent, lendo teu artigo eu fiz:
# Aceita de um mesmo IP somente 3 por minuto
iptables -A INPUT -i eth0 -p tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -m recent --set --name SSH
iptables -A INPUT -i eth0 -p tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -m recent --update --seconds 60 --hitcount 3 --name SSH -j REJECT
# mesmo tendo passado pela regra acima (3 por minuto), aceita somente 30 por dia
iptables -A INPUT -i eth0 -p tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -m recent --set --name SSH2
iptables -A INPUT -i eth0 -p tcp --dport 22 --tcp-flags SYN,RST,ACK SYN -m recent --update --seconds 86400 --hitcount 30 --name SSH2 -j REJECT
A ideia é limitar 3 por minuto, mas se o cara vai no ritmo, tentando até 30 por dia (outra lista) ai ele fica na geladeira por 24 horas! Se o robozinho do cara respeitar o 3/min, em 10 min ele estoura o segundo limite e dançou! Só amanhã!
Pus no ar agora.
[14] Comentário enviado por melphos em 29/08/2007 - 11:00h
Olá Elgio,
Muito bom as regras, você usou as várias possibilidades do módulo recent. Parabéns !!!
abraços,
melphos
Olá Elgio,
Muito bom as regras, você usou as várias possibilidades do módulo recent. Parabéns !!!
abraços,
melphos
[15] Comentário enviado por leliocampos em 19/09/2007 - 14:25h
Boa tarde
Você testou o ultimo exemplo, o de ping. Eu tentei de tudo, até gerar log, ele gera, mas não libera o acesso na porta 22.
No aguardo,
Lélio
Boa tarde
Você testou o ultimo exemplo, o de ping. Eu tentei de tudo, até gerar log, ele gera, mas não libera o acesso na porta 22.
No aguardo,
Lélio
[17] Comentário enviado por k4mus em 26/11/2007 - 13:17h
..Na regra dois do brute force: ah um errinho na escrita: :)
iptables -A INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --name sshlimita --rchek --seconds 120 --hitcount 3 -j LOG --log-prefix "SSHLimitaConn: "
(--rchek - correçao --rcheck)
..nas explicaçao abaixo esta falanco ..mas, so pra constar mesmo :)
abraço galera
..abraços!!!
..Na regra dois do brute force: ah um errinho na escrita: :)
iptables -A INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --name sshlimita --rchek --seconds 120 --hitcount 3 -j LOG --log-prefix "SSHLimitaConn: "
(--rchek - correçao --rcheck)
..nas explicaçao abaixo esta falanco ..mas, so pra constar mesmo :)
abraço galera
..abraços!!!
[18] Comentário enviado por melphos em 26/11/2007 - 15:01h
leliocampos,
Como nestes exemplos não usei CHAINs, fica ai a dica para que em sistemas, por exemplo, derivados do Red Hat, as regras dêem certo. Se for derivados do Debian, tente criar CHAINs para essas regras mesmo.
Abraços,
Melphos
leliocampos,
Como nestes exemplos não usei CHAINs, fica ai a dica para que em sistemas, por exemplo, derivados do Red Hat, as regras dêem certo. Se for derivados do Debian, tente criar CHAINs para essas regras mesmo.
Abraços,
Melphos
[19] Comentário enviado por melphos em 26/11/2007 - 15:03h
Olá k4mus,
Obrigado pelo elogio e muito obrigado pela correção, as vezes na correria, ou na madrugada, que é quando sobra o tempinho, o sono fala mais alto.
VALEU MESMO PELA CORREÇÃO !!
Abração,
Melphos
Olá k4mus,
Obrigado pelo elogio e muito obrigado pela correção, as vezes na correria, ou na madrugada, que é quando sobra o tempinho, o sono fala mais alto.
VALEU MESMO PELA CORREÇÃO !!
Abração,
Melphos
[20] Comentário enviado por balani em 30/01/2008 - 00:04h
Excelente artigo, estou me aprofundando em firewall, e a cada dia venho me surpreendo com o nivel dos artigos postados aki no VOL.
Seu artigo vai dar problema com o Greenpeace, pq ele não quebra apenas um galho mais uma floresta inteira...rsrsrs
Parabens!!!
E VIVA A LIBERDADE, VIVA O LINUX
Excelente artigo, estou me aprofundando em firewall, e a cada dia venho me surpreendo com o nivel dos artigos postados aki no VOL.
Seu artigo vai dar problema com o Greenpeace, pq ele não quebra apenas um galho mais uma floresta inteira...rsrsrs
Parabens!!!
E VIVA A LIBERDADE, VIVA O LINUX
[21] Comentário enviado por demattos em 01/02/2008 - 18:24h
Boa Noite, muito bom o artigo, mas gostaria de saber o seguinte, tenho aqui uma rede de computadores wireless usando minha internet ou seja compartilho com 20 (casas)computadores, eu queria era limitar somente 2 conexcoes dor ip a internet, vc saberia se com estes recurso do iptables e possivel fazer isto
Obrigado
Boa Noite, muito bom o artigo, mas gostaria de saber o seguinte, tenho aqui uma rede de computadores wireless usando minha internet ou seja compartilho com 20 (casas)computadores, eu queria era limitar somente 2 conexcoes dor ip a internet, vc saberia se com estes recurso do iptables e possivel fazer isto
Obrigado
[22] Comentário enviado por melphos em 01/02/2008 - 20:47h
balani,
He he he ... obrigado. Estou fazendo um outro artigo sobre performance no iptables, onde irei falar um pouco sobre "Connection tracking", memória., /pro/sys/net/ipv4/*, sobre passos ideais e customizações em uma instalação de um firewall, como por exemplo, permissões, particionamento, sistema de arquivos, etc. E irei dar uma "chamiscada" nas integrações dos módulos.
Faça muitos testes, entenda como funciona o módulo recent, mas vá a fundo mesmo, tente entender o que é feito por trás de uma regra.
qualquer problema, pode entrar em contato: melphos@gmail.com
Abraços e muito sucesso,
Melphos
balani,
He he he ... obrigado. Estou fazendo um outro artigo sobre performance no iptables, onde irei falar um pouco sobre "Connection tracking", memória., /pro/sys/net/ipv4/*, sobre passos ideais e customizações em uma instalação de um firewall, como por exemplo, permissões, particionamento, sistema de arquivos, etc. E irei dar uma "chamiscada" nas integrações dos módulos.
Faça muitos testes, entenda como funciona o módulo recent, mas vá a fundo mesmo, tente entender o que é feito por trás de uma regra.
qualquer problema, pode entrar em contato: melphos@gmail.com
Abraços e muito sucesso,
Melphos
[24] Comentário enviado por brizao em 28/07/2010 - 00:01h
um negócio interessante também seria utilizar o programa fail2ban que faz a mesma coisa e no diretório /etc/fail2ban/jail.conf que é onde se configura o tempo de banimento, os protocolos e serviços que serão enjaulados em caso de tentativa de força bruta..
um negócio interessante também seria utilizar o programa fail2ban que faz a mesma coisa e no diretório /etc/fail2ban/jail.conf que é onde se configura o tempo de banimento, os protocolos e serviços que serão enjaulados em caso de tentativa de força bruta..
[25] Comentário enviado por caldeiratech em 20/07/2012 - 13:04h
Pessoal estou implementando esta regra:
$ipt -N QW22
$ipt -A INPUT -p tcp -i $iface_ext --dport 22 -j QW22
$ipt -A QW22 -m state --state NEW -m recent --set --name conexoes_p22
$ipt -A QW22 -m recent --name conexoes_p22 --update --seconds 1 --hitcount 20 -j DROP
Até aqui funciona perfeitamente, porém, se eu informar o "--hitcount" com um valor maior que 20, o IPTABLES da erro de regra.
iptables: Invalid argument. Run `dmesg' for more information.
Existe limite para o parâmetro --hitcount ou há outra forma de implementar esta regra?
Pessoal estou implementando esta regra:
$ipt -N QW22
$ipt -A INPUT -p tcp -i $iface_ext --dport 22 -j QW22
$ipt -A QW22 -m state --state NEW -m recent --set --name conexoes_p22
$ipt -A QW22 -m recent --name conexoes_p22 --update --seconds 1 --hitcount 20 -j DROP
Até aqui funciona perfeitamente, porém, se eu informar o "--hitcount" com um valor maior que 20, o IPTABLES da erro de regra.
iptables: Invalid argument. Run `dmesg' for more information.
Existe limite para o parâmetro --hitcount ou há outra forma de implementar esta regra?
[26] Comentário enviado por caldeiratech em 20/07/2012 - 14:42h
[25] Comentário enviado por caldeiratech em 20/07/2012 - 13:04h:
Pessoal estou implementando esta regra:
$ipt -N QW22
$ipt -A INPUT -p tcp -i $iface_ext --dport 22 -j QW22
$ipt -A QW22 -m state --state NEW -m recent --set --name conexoes_p22
$ipt -A QW22 -m recent --name conexoes_p22 --update --seconds 1 --hitcount 20 -j DROP
Até aqui funciona perfeitamente, porém, se eu informar o "--hitcount" com um valor maior que 20, o IPTABLES da erro de regra.
iptables: Invalid argument. Run `dmesg' for more information.
Existe limite para o parâmetro --hitcount ou há outra forma de implementar esta regra?
SOLUÇÃO PARA O hitcount:
Limitação de hitcount
Provavelmente o hitcount será carregado pelo kernel com contador igual a 20. Para alterar:
Crie o arquivo se não existir, configure o hitcount que pode ser no máximo 255:
vi /etc/modprobe.d/options (dependendo pode ser options.conf)
options xt_recent ip_pkt_list_tot=100
Remova as regras que usam o módulo recent:
iptables -F
iptables -X
Se o módulo xt_recent/ipt_recent foi carregado anteriormente:
lsmod | egrep recent
... então remova:
rmmod xt_recent
Carregar novamente o módulo:
modprobe xt_recent
Verifique:
cat /sys/module/xt_recent/parameters/ip_pkt_list_tot
Execute o passo 2 novamente.
[25] Comentário enviado por caldeiratech em 20/07/2012 - 13:04h:
Pessoal estou implementando esta regra:
$ipt -N QW22
$ipt -A INPUT -p tcp -i $iface_ext --dport 22 -j QW22
$ipt -A QW22 -m state --state NEW -m recent --set --name conexoes_p22
$ipt -A QW22 -m recent --name conexoes_p22 --update --seconds 1 --hitcount 20 -j DROP
Até aqui funciona perfeitamente, porém, se eu informar o "--hitcount" com um valor maior que 20, o IPTABLES da erro de regra.
iptables: Invalid argument. Run `dmesg' for more information.
Existe limite para o parâmetro --hitcount ou há outra forma de implementar esta regra?
SOLUÇÃO PARA O hitcount:
Limitação de hitcount
Provavelmente o hitcount será carregado pelo kernel com contador igual a 20. Para alterar:
Crie o arquivo se não existir, configure o hitcount que pode ser no máximo 255:
vi /etc/modprobe.d/options (dependendo pode ser options.conf)
options xt_recent ip_pkt_list_tot=100
Remova as regras que usam o módulo recent:
iptables -F
iptables -X
Se o módulo xt_recent/ipt_recent foi carregado anteriormente:
lsmod | egrep recent
... então remova:
rmmod xt_recent
Carregar novamente o módulo:
modprobe xt_recent
Verifique:
cat /sys/module/xt_recent/parameters/ip_pkt_list_tot
Execute o passo 2 novamente.
[27] Comentário enviado por px em 14/07/2013 - 22:58h
Grande artigo colega, quem disse o contrário precisa estudar muito ainda, e digo mais este modulo permite uma grande variedades de listas que só eram possíveis antes com varias CHAIN diferentes, espero que eles inovem ainda mais em módulos e acrescentem algumas funções, mas já é um grande avanço
---
Atenciosamente, Pedro.
Já leu meu último artigo?
LINK:
http://www.vivaolinux.com.br/artigos/userview.php?login=px
Grande artigo colega, quem disse o contrário precisa estudar muito ainda, e digo mais este modulo permite uma grande variedades de listas que só eram possíveis antes com varias CHAIN diferentes, espero que eles inovem ainda mais em módulos e acrescentem algumas funções, mas já é um grande avanço
---
Atenciosamente, Pedro.
Já leu meu último artigo?
LINK:
http://www.vivaolinux.com.br/artigos/userview.php?login=px
Patrocínio
Site hospedado pelo provedor RedeHost.
Destaques
Artigos
Compartilhando a tela do Computador no Celular via Deskreen
Como Configurar um Túnel SSH Reverso para Acessar Sua Máquina Local a Partir de uma Máquina Remota
Configuração para desligamento automatizado de Computadores em um Ambiente Comercial
Dicas
Como renomear arquivos de letras maiúsculas para minúsculas
Imprimindo no formato livreto no Linux
Vim - incrementando números em substituição
Efeito "livro" em arquivos PDF
Como resolver o erro no CUPS: Unable to get list of printer drivers
Tópicos
É cada coisa que me aparece! - não é só 3% (3)
Melhorando a precisão de valores flutuantes em python[AJUDA] (5)
Top 10 do mês
-
Xerxes
1° lugar - 66.622 pts -
Fábio Berbert de Paula
2° lugar - 50.443 pts -
Buckminster
3° lugar - 17.938 pts -
Mauricio Ferrari
4° lugar - 15.644 pts -
Alberto Federman Neto.
5° lugar - 14.558 pts -
Diego Mendes Rodrigues
6° lugar - 13.244 pts -
Daniel Lara Souza
7° lugar - 12.782 pts -
edps
8° lugar - 11.342 pts -
Andre (pinduvoz)
9° lugar - 10.983 pts -
Alessandro de Oliveira Faria (A.K.A. CABELO)
10° lugar - 10.999 pts
Scripts
[Python] Automação de scan de vulnerabilidades
[Python] Script para analise de superficie de ataque
[Shell Script] Novo script para redimensionar, rotacionar, converter e espelhar arquivos de imagem
[Shell Script] Iniciador de DOOM (DSDA-DOOM, Doom Retro ou Woof!)
[Shell Script] Script para adicionar bordas às imagens de uma pasta
A maior comunidade GNU/Linux da América Latina! Artigos, dicas, tutoriais, fórum, scripts e muito mais. Ideal para quem busca auto-ajuda.
Site hospedado por:
