使用iptables设定一些安全防护功能(3)

　　作者: kenduest (小州)
　　防止 sync flood 攻击的设定:
　　
　　iptables -N synfoold
　　iptables -A synfoold -p tcp --syn -m limit --limit 1/s -j RETURN
　　iptables -A synfoold -p tcp -j REJECT --reject-with tcp-reset
　　iptables -A INPUT -p tcp -m state --state NEW -j synfoold
　　
　　这个方式对于一个很忙碌的站台来说，这个设定方式会不会有不良影响呢？
　　测试过一个很忙碌的站台用这个设定，老实说并不好....
　　所以也许可以调整时间与次数的触发值。
　　
　　防止 Ping of Death :
　　
　　iptables -N ping
　　iptables -A ping -p icmp --icmp-type echo-request -m limit --limit \
　　1/second -j RETURN
　　iptables -A ping -p icmp -j REJECT
　　iptables -I INPUT -p icmp --icmp-type echo-request -m state --state NEW \
　　-j ping
　　
　　这里只有把 icmp 的 echo request 部份拒绝掉，可以视情况再调整。
　　
　　或者是直接设定主机不响应 echo request 。
　　
　　/proc/sys/net/ipv4/icmp_echo_ignore_all
　　 补充心得
　　iptables 机制是逐条检查...
　　但是假设当一个封包要通过时，第一条规则已经放行通过，封包的命运已经定下来，剩余规则就不会再检查，就算剩余规则中有要挡下这个封包时也无效！
　　
　　例：
　　规则 1 : 放行所有 80 port 的封包
　　规则 2 : 拒绝 210.58.221.241 80 port 封包
　　规则 3 ........
　　
　　像这样子时，根本无法挡下 210.58.221.241 80 port 封包...
　　因为第 1 条规则已经先放行所有 80 port 的封包了，所以该封包早就先通过了......
　　正确的写法应该将规则 1 与规则 2 互换.....
　　※ 引述《AceLan (小蛋蛋)》之铭言：
　　> [root@babu netfilter]# pwd
　　> /lib/modules/2.4.13-7mdk/kernel/net/ipv4/netfilter
　　> [root@babu netfilter]# ls
　　> ip_conntrack.o.gz ipchains.o.gz ipt_mark.o.gz
　　> ip_conntrack_ftp.o.gz ipfwadm.o.gz ipt_multiport.o.gz
　　> ip_conntrack_h323.o.gz ipt_LOG.o.gz ipt_owner.o.gz
　　> ip_conntrack_irc.o.gz ipt_MARK.o.gz ipt_state.o.gz
　　> ip_conntrack_talk.o.gz ipt_MASQUERADE.o.gz ipt_tcpmss.o.gz
　　> ip_nat_ftp.o.gz ipt_MIRROR.o.gz ipt_tos.o.gz
　　> ip_nat_h323.o.gz ipt_REDIRECT.o.gz ipt_unclean.o.gz
　　> ip_nat_irc.o.gz ipt_REJECT.o.gz iptable_filter.o.gz
　　> ip_nat_talk.o.gz ipt_TCPMSS.o.gz iptable_mangle.o.gz
　　> ip_queue.o.gz ipt_TOS.o.gz iptable_nat.o.gz
　　> ip_tables.o.gz ipt_limit.o.gz
　　> ip_vs/ ipt_mac.o.gz
　　> 东西好多 我在 iptables 主站里没有找到相关的资料
　　> (http://netfilter.samba.org/)
　　> 只是很好奇各个模块的功能 有 ip_ 开头 ipt_ & iptable_ 开头的
　　> 这些模块有什么不同呢？
　　
　　iptables_ 开头，是给 iptables -t xxxx 的。比方:
　　
　　iptables -t nat ...
　　iptables -t mangle .....
　　
　　ipt_ 开头的，是 -j xxxx 使用的。比方:
　　
　　iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT ....
　　
　　ip_conntrack 开头的是一些纪录/追踪通讯协议的运作，然后适时修改封包
　　内容让特定通讯协议可以正常工作。
　　
　　ip_nat_ 开头的是解决一些常见服务在 nat 环境可能无法使用的情况。
　　
　　ip_conntrack* 与 ip_nat_* 这些 module 一般要使用 modprobe 来加载。
　　
　　ip_tables 是主要提供 iptables 功能的核心。ip_queue 是可以让封包过滤
　　传输丢给使用层的应用程序来处理。