| ← Ноябрь 2015 → | ||||||
|
1
|
||||||
|---|---|---|---|---|---|---|
|
2
|
3
|
4
|
5
|
6
|
8
|
|
|
9
|
11
|
13
|
15
|
|||
|
17
|
19
|
21
|
22
|
|||
|
23
|
24
|
25
|
27
|
28
|
29
|
|
|
30
|
||||||
За последние 60 дней ни разу не выходила
Сайт рассылки:
http://litl-admin.ru
Открыта:
26-01-2012
Статистика
0 за неделю
Сообщество системных администраторов Litl-Admin.ru Используем iptables для защиты сервера от DDOS и Flood
Нам потребуется Ostinato для генерации произвольных пакетов. Wireshark для захвата сетевых пакетов, а так же виртуальная машина на CentOS, в которую мы установим tcpdump (работа с этой программой будет показана позднее). Модель будет такая:
Итак, поехали. Настраиваем генератор пакетов OstinatoНадеюсь, вы прошли простой урок по ссылке вверху и работа с Ostinato для вас не является проблемой. Создаём новый поток пакетов (Stream).  Создаём новый пакет Stream После этого начинаем заполнять характеристики протокола. Нам нужен ICMP протокол, поэтому выставим примерно такой формат:  Задаём характеристики протокола Указываем MAC-адрес назначения (нашей виртуальной машины). В качестве источника оставляем нули (наша собственная станция).  Указываем MAC-адрес назначения Заполняем остальные поля IP протокола. В частности IP-адреса источника и назначения.  Заполняем адреса источника и назначения Указываем параметр ICMP-запроса.  Формируем ICMP-запрос Настраиваем “поток”, я указал параметр 4 пакета в секунду. А так же возврат на начало после того, как поток истечёт (что означает бесконечный выброс пакетов).  Устанавливаем силу потока Запускаем (play) в главном окне программы (не забыв нажать кнопку Apply!!). Фиксируем исходящий поток данных. Проверяем выход пакетов Wireshark Wireshark фиксирует поток На виртуальной машине запускаем:
для фиксации пакетов ICMP-протокола. Я немного поздновато снял скриншот, увидите почему.
Итак, самое интересное – сохраняем правила файрволла в файл, затем открываем его для редактирования:
и добавляем там следующие правила в цепочку INPUT
Что это значит? Мы используем модуль limit. Его можно представить в качестве большого сосуда объёмом в –limit-burst пакетов (в нашем случае 1). Сосуд опустошается со скоростью –limit 1 пакет в секунду. Вот пока наш сосуд не переполнился – правила идут по его действию (-j ACCEPT), то есть принимаются. Как только “сосуд переполняется”, пакеты следуют к следующим правилам, а следующее у нас -j DROP. Если бы у нас был сосуд ёмкостью в 10 пакетов (т.е. параметр –limit-burst был бы равен 10), то первые 10 пингов бы мы приняли, а затем они бы начали дропаться.
Теперь посмотрим, что мы получили. По идее, к нам приходят 4 пакета в секунду. Мы принимаем только один. Остальные будем дропать. Проверим это:
Эта команда раз в секунду (параметр -n) выполнит команду iptables -vnL для цепочки INPUT, т.е. показывает статистику по пакетам/байтам. Мы увидим два счётчика, причём у первого правила счётчик увеличивается на 1 каждую секунду, а второй счётчик – на три каждую секунду. Как раз то, что мы и хотели! Иногда будет не совсем ровно считать, потому что пакеты приходят с небольшим запазданием и в эту секунду может посчитать 2 пакета дроп, а в следующую – 4.
Вроде получилось! Теперь как мы можем это использовать? ВыводыОграничить число TCP-сегментов со статусом NEW (флаги SYN) на порт локального SSH, что позволит существенно замедлить работу переборщика паролей (бруфорсера). Но тут всплывает существенный недостаток: Если переборщик будет активен, мы тоже не сможем залогиниться, потому что не попадём в “ёмкость”. Нам нужно организовать отдельную “ёмкость” для каждого source IP. Тогда пусть он как хочет переполняет свою – мы попадём в нужную очередь свободно! Для этого можно использовать другой модуль –hashlimit. Попробуем реализовать эту возможность. Дальше я продолжаю писать статью на другой виртуалке (помощнее), здесь у меня изменились IP-адреса. Для CentOS (виртуалка) 192.168.56.10, для генератора пакетов соответственно 192.168.56.1. Перепишем наши правила следующим образом:
Здесь почти всё то же самое, что и у limit (ещё бы, hashlimit – прямой его потомок), но добавили параметры:
Запущу в том же Ostinato второй поток с немного другим Source IP, с похожими параметрами. Попутно будем отслеживать содержимое нашей таблицы:
 Содержимое таблицы хешей Здесь мы видим несколько значений. Каждая строка – отдельный источник пакетов. Первая цифра – счётчик (у нас 9) это значение по умолчанию, мы могли бы его указать прямо в правиле файрволла, (–hashlimit-htable-expire) но по дефолту 10 секунд. Это время жизни хеша в таблице. Каждую секунду счётчик уменьшается на 1. Но если пакеты попадающие под это правило продолжают поступать – счётчик снова выставляется в исходное значение. Далее идёт IP адрес источника, что очевидно. Три последние числа – весьма характерны. Первое из них – текущее значение счётчика пакетов, умноженное на определённый коэффициент. Второе – значение burst с этим же коэффициентом. А третье – средний интервал между пакетами (в секундах) умноженный на 32000. |
| В избранное | ||
