Шейпинг узкого канала?

1) забанить китай вообще для сетей клиента

2) что за флуд-то?

Натить на себя не надо, достаточно пускать трафик через свои железки и отсекать нежелательную активность. Как именно это делать зависит от того каким способам «валят» клиента. Если тупой udp-флуд то вообще всё просто, лишь бы твоих каналов хватило.

1. Валится очень много откуда, не только с Китая. Есть и Украина, и Мексика, и еще всякая нечисть. Не отфильтруешь. 2. Ну да, удп в жуткой массе. Мой канал пока держит, а вот транзитный - затыкается. Всё просто - это как?

зафильтруй входящий udp который не относится ни к чему и всё. Чтобы днс работал итп используй conntrack, только максимальное кол-во правил поставь побольше(/proc/sys/net/ipv4/ip_conntrack_max).

Посмотри для примера такое с recent:

iptables -A INPUT -m set --match-set BASTARDS src -j DROP
iptables -A INPUT -m state --state NEW,RELATED,ESTABLISHED  -j ACCEPT

#basic filtering
iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 100 -j SET --add-set BASTARDS
iptables -A INPUT -p tcp --dport 20:21 -j SET --add-set BASTARDS

#SSH guard
iptables -A INPUT -p tcp --syn --dport 22    -m recent --rcheck --name SSH --rsource -j ACCEPT
iptables -A INPUT -p tcp --syn --dport 25999 -m recent --set    --name SSH -j REJECT
iptables -A INPUT -p tcp --syn --dport 26000 -m recent --remove --name SSH -j DROP


iptables -I OUTPUT -m set --match-set BASTARDS dst -j REJECT

Это самое базовое.

Ну и тупо бань тех кто udp-трафика много генерит. Короче, лучший помощник при атаках это твоя голова. Ну и вообще вот это прочитай: http://ru.wikipedia.org/wiki/Iptables

Ну, во-первых, FORWARD, а не INPUT, а во-вторых, как отличить хороших многогенерящих от плохих! :) Пакеты на порты наиболее популярных сервисов, естественно, скидываются на DROP по умолчанию: в филиале просто нет серверов, слушающих в инет.

правила для примера привёл, чтобы мысли появились.

Пропай всё что unrelated и всё, делов-то.

Ну идея понятна, однако, udp не всегда бывает related ;) Спасибо. Продолжаю думать.

Зы. Таргет TARPIT порадовал, я не знал о нем!!!

udp не всегда бывает related ;)

в жизни много чего бывает, но может этой конторе ничего кроме исходящих tcp не нужно, тогда задача сильно упрощается.

Таргет TARPIT порадовал

Только с udp он не поможет :). Ну и NOTRACK для всех отфильтрованных хостов тоже хорошая идея.

С китайцами по китайски. Если твое войско большое, показывай врагу, что оно маленькое; если маленькое - показывай, что большое. Если ты далеко, показывай, что близко; если ты близко - показывай, что далеко.

Короче, создать сеть - honeypot, чтобы ее флудили или сменить клиенту IP-шники, а старые использовать для honeypot. А самое главное при этом - делать плохую мину при хорошей игре - показывать противнику, как тебе плохо.