iptables,为iptables增加connlimit模块 限制DOS攻击

点评：为iptables增加connlimit模块 限制DOS攻击的方法，需要的朋友可以参考下。
注：2.6.23以前的内核版本默认不支持 connlimit
推荐规则
iptables -A INPUT -p tcp -m tcp -m connlimit --dport 80 --tcp-flags SYN,ACK,FIN,RST SYN -j DROP --connlimit-above 32 --connlimit-mask 32
如果/var/logs/message出现
ipt_connlimit: Oops: invalid ct state ?
在这条规则前面加一条
iptables -A INPUT -m conntrack -j DROP --ctstate INVALID
阻断非法数据包
查看效果
iptables -n -L -v |grep conn
17479 1033K DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 flags:0x17/0x02 #conn/32 > 32

延伸阅读

• 2010-12-9-- iptables,iptables中文手册
• 2008-12-4-- iptablesnat:使用 iptables 设定使用 NAT 分享网络频宽
• 2010-12-9-- iptables,IPTABLES配置实例
• 2008-12-4-- iptables:如何以iptables处理code red问题
• 2009-2-12-- 分布式拒绝服务攻击:分布式拒绝服务攻击及iptables过滤测试
• 2008-12-4-- iptables:一些网络中流传的 iptables 脚本的误区
• 2008-12-4-- iptables:使用 iptables 设定一些安全防护功能 (2)
• 2008-12-4-- iptables:使用 iptables 设定一些安全防护功能 (1)
• 2009-2-12-- iptables:轻松掌握——图形简释iptables防火墙
• 2008-12-4-- iptables:使用 iptables 设定一些安全防护功能 (3)