Ограничение количества входящих пакетов за промежуток времени

Своди ребенкав зоопарк, на ботов посмотришь

Входящие пакеты невозможно ограничить, если запросы посылает не само приложение. Вы можете их только «дропать».

fail2ban не подходит потому, что...?

http://en.wikipedia.org/wiki/Fail2ban

Fail2ban operates by monitoring log files (e.g. /var/log/pwdfail, /var/log/auth.log, etc.) for selected entries and running scripts based on them.

Наверняка этот скрипт не обрабатывает данные в режиме реального времени, и поэтому он мне не подходит. Как я уже писал, бот может послать 1000 пакетов за секунду и вырубить приложение на несколько минут.

Мне как раз и нужно дропать все пакеты, которые превышают обозначенный лимит.

То есть, бот посылает 1000 пакетов/сек. Лимит 50 пакетов/сек в одного IP. Каждую секунду 50 пакетов от бота доходят, остальные 950 дропаются.

Это не ограничение трафика, по сути ваш сервер всё равно обрабатывает 1000 пакетов в секунду с одного IP, просто 950 вы будете дропать, а 50 пропускать, загрузка канала как была 1000 пакетов/сек. с одного IP так и осталась.

Ясно, спасибо. Сейчас эти 1000 пакетов обрабатываются приложением, из-за чего получается очень большая нагрузка. Как сделать так, чтобы пакеты до приложения не доходили? Посоветуете что-нибудь?

Это DDoS или школьники читерят? Что мешает перманентно банить по IP?

Я же вам ответил. Сомневаюсь, что вы вникли в суть моей проблемы.

Ну раз вы сами не знаете что происходит, то тут конечно трудно что-то посоветовать

Какая разница? Я объяснил суть проблемы - что именно у меня на сервере происходит.

Ладно, раз не поняли - объясняю. Скрипт, который вы посоветовали, не умеет работать в режиме реального времени, как, например, iptables. Его можно запускать максимум раз в секунду. Меня это не спасет, так как за эту секунду бот может отправить 1000 пакетов и сервер ляжет на пару минут.

В iptables, hashlimit + limit-burst - работает очень странно

Покажи как ты это делал

iptables -A INPUT -p tcp --dport 555 -m conntrack --ctstate RELATED,ESTABLISHED -m hashlimit --hashlimit-above 50/sec --hashlimit-burst 50 --hashlimit-mode srcip --hashlimit-name aadd -j LOG --log-prefix='TESTTEST '

При активности ботов, начинает логировать обычных пользователей, и даже меня.

И это правильно, следующие правило iptables -A INPUT -p tcp --dport 555 -j DROP , profit. А зачем вы логгируете, то что пропускаете?

При активности ботов

Вы можете внятно объяснить отличие бота от нормального пользователя?
PPS это слишком эфемерный критерий

Разве? --hashlimit-above: если пакеты поступают с большей скоростью, они считаются подпадающими под критерий. (http://ru.wikibooks.org/wiki/Iptables)

Готовое правило для сервера я бы использовал такое:

iptables -A INPUT -p tcp --dport 555 -m conntrack --ctstate RELATED,ESTABLISHED -m hashlimit --hashlimit-upto 50/sec --hashlimit-burst 50 --hashlimit-mode srcip --hashlimit-name aadd -j ACCEPT
iptables -A INPUT -p tcp --dport 555 -j DROP

Где --hashlimit-upto было бы правильным, а не above.

Моё правило для логирования и эти ничем не отличаются, вроде бы.

По замерам tcpdump, обычный пользователь не превышает 30 pps, когда бот бурстит по 1000 pps. И всё это с одного открытого соединения.