Regras úteis de segurança com iptables

Contra Pings:
# iptables -A FORWARD -p icmp -icmp-type echo-request -m limit -limit 1/s -j accept

Isso, na verdade, é contra ping da morte, ele esta limitando 1 ping por segundo apenas.

Maneiro..... Mandou bem....isso pode entrar em qualquer posição no FW???

cara, bacana ae os comandos hein, bem simples e objetivo...

sabe onde posso encontrar mais material falando sobre os tipos de ataques e como evitá-los?

falow...

Boa dica... 100%

Mandou bem!!!

eu tentei, mas da este erro.. "[root@localhost sbin]# iptables -A FORWARD -p tcp -syn -m limit -limit 1/s -j accept
iptables v1.3.0: Unknown arg `limit'
Try `iptables -h' or 'iptables --help' for more information." vc pode me ajudar? uso o fedora core 4 i386

olha ai consigui bloquear ping assim

iptables -A INPUT -p icmp -j DROP

Ecator lsmod mostra os modulos q vc ta usando tenta olhar, mais acho q isso acontece pq o modulo ipt_limit nao esta carregado

tenta carregalo assim /sbin/modprobe ipt_limit

blz t+ bela dica prabens

Funciona bem mas somente com versoe do iptabes inferior ao v1.3.5

entao, realmente util a dica, mas o ideal de todo o firewall é bloquear tudo e liberar apenas oq se pode passar..
eu na verdande nao costumo fazer bloqueios .. mas sim liberacoes...
eu achei legal segunda regra, nao tinha visto e aproveitei bem...
as outras já estavam bloqueadas por padrao no meu firewall sem eu saber ..

VLW IRMAO.. Muito obrigado pela dica.

Sim,
mais add digito ou sei la o q aonde ?

#Bloqueando ping da morte
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j accept
iptables -A FORWARD -p icmp --icmp-type echo-request -j DROP

esta faltando alguns tracinhos (-) ai no seu post.....falow

Se não me engano ja postaram um artigo sobre isso aqui mais é bom alertar do mesmo jeito.

A sua primeira regra vai liberar somente 1 pacote syn (requisição de conexão) por segundo independente da origem, então com essa regra você esta facilitando o ataque Dos (denial of service) visto que o atacante com apenas 1 pacote / segundo ja consegue o que queria.

Nesse caso o indicado contra synflood seria: ( OBS: SERIA MAS NÂO É )

Ativar o tcp_syncookies direto no kernel através do sistema de arquivos proc

echo "1" > /proc/sys/net/ipv4/tcp_syncookies

Ou ativando direto no /etc/sysctl.conf

Porém o uso desse recurso não é recomendado hoje em dia, atualmente o kernel ja possui recursos o suficiente para tratar ataques de synflood, como descrito em [1]

[1] http://lkml.org/lkml/2008/2/5/167