Oграничение размера пинга с помощью iptables

[Karen]

Добрый день друзья!

На сей раз такая проблемка, надо ограничить размер пинга на мой веб сервеp максимум 32 bytes.

Кто нибудь делал подобное?

OC: Linux (Slackware)



Заранее благодарю за помощь!

[Nigga]

модуль length может это.

[Karen]

Примерно так что ли?

Код: Выделить всё

iptables -N icmp_packets

iptables -A icmp_packets -p ICMP --icmp-type echo-request -m length --length ! :32 -j LOG --log-prefix "ipt# PING DROP SIZE: "

iptables -A icmp_packets -p ICMP --icmp-type echo-request -m length --length ! :32 -j DROP

iptables -A icmp_packets -p ICMP --icmp-type echo-request -m limit --limit 30/m --limit-burst 1 -j RETURN

iptables -A icmp_packets -p ICMP --icmp-type echo-request -m limit --limit 30/m --limit-burst 1 -j LOG --log-prefix "ipt# PING DROP FLOOD: "

iptables -A icmp_packets -p ICMP --icmp-type echo-request -m limit --limit 30/m --limit-burst 1 -j DROP

iptables -A icmp_packets -j RETURN

iptables -A INPUT -p ICMP -j icmp_packets

[Nigga]

Ага, только вместо инверсии "! :32" лучше "32:" то-есть <32. А вместо limit hashlimit(если политика по умолчанию DROP). ИМХО.

[Karen]

А если просто:

Код: Выделить всё

IPTABLES -A INPUT -p icmp --icmp-type echo-request -m length --length 32: -j REJECT --reject-with icmp-host-prohibited

Что скажете?

[Nigga]

Что скажете?

чотко, но учитывая что на каждый запрос попадающий под это правило вы будете слать в ответ уведомление о недоступности, вам стоит защитится от флуда, а судя по вашим правилам у вас политика по умолчанию ACCEPT т.к. hashlimit не поддерживает инверсию вы не сможете применить его для защиты, а применяя limit вы обрежете и себе пинг во время атаки...

[Karen]

понял, спасибо друг за помощь!