iptables avto ban + плюс еще вопрос

>тут какие то правила

Какие правила? Может у вас там «$IPTABLES -А OUTPUT -j DROP». Лучше покажите «iptables-save» и убедитесь с помощью tcpdump, что нет именно исходящих пакетов.

А по первому вопросу, ИМХО, recent + hashlimit. А если «пожизненный» подразумевает сохранение при перезагрузке сервера, то, наверное, скрипт для сохранения/восстановления таблицы через /proc/net/xt_recent/*.

$ iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp — anywhere anywhere tcp dpt:ssh
ACCEPT tcp — anywhere anywhere tcp dpt:http limit: avg 3/sec burst 3 DROP all — anywhere anywhere

Chain FORWARD (policy DROP)
target prot opt source destination

Chain OUTPUT (policy DROP)
target prot opt source destination

$ снаружи доступно ssh, http. а с самого сервера никуда не поким портам не пускает.

ну дык у тебя stateless фаервал, смотри в сторону

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

Вот смотри, если у тебя всего одно правило разрешающее только коннект к 22 порту, то, предположим ты коннектишься к лору, ну там проверить допустим (или устанавливаешь пакет)

nc 217.76.32.61 80

то посмотри tcpdump'ом как отработается 3-way handshake без правила, которое я написал выше.

В случае отсутствия вышеуказанного правила, тебе надо было бы добавить

iptables -A INPUT -p tcp --sport 80 -s 217.76.32.61 -j ACCEPT

Идея ясна?

с самого сервера никуда не поким портам не пускает[.quote]
естественно, что оно не будет работать.
пакет уходит с сервера, ответ от хоста блокируется ветке input.

попробуйте так:

что касаемо ветки input в filter, то настраиваю ее немного иначе.
изначально политика на ветку accept, если надо ограничить доступ к портам, то

iptables -j ACCEPT -A INPUT -s sourceIP_1 -p tcp/udp/etc --dport XX
iptables -j ACCEPT -A INPUT -s sourceIP_2 -p tcp/udp/etc --dport XX
...
iptables -j ACCEPT -A INPUT -s sourceIP_N -p tcp/udp/etc --dport XX
iptables -j REJECT -p tcp/udp/etc --dport XX

и так далее для нужных портов.

нат есть на сервере?

По второму вопросу все уяснил. Спасибо за ответы. А по первому можно пример.

>Chain OUTPUT (policy DROP)

(policy DROP)

что непонятного? сервер не может отправлять пакеты

костыль:
может knockd поможет реализовать добавление правила в iptables при, условии обращения от хоста более 15 раз за указанный период времени на определенную последовательность портов.
в вашем случае последовательность портов 23998:udp 23998:udp и так 15 раз :)

а правило, без костыля?

если просто ограничить кол-во пакетов за единицу времени:
http://www.opennet.ru/docs/RUS/iptables/#TABLE.LIMITMATCH
как прикрутить без «костыля» еще добавление правила «на вечный бан» - не знаю.

Так то понятно. Ведь было бы очень удобно с досерами бороться. В google предлагают кустарные методы, скрестить netstat + iptables (скрипт). Просто уверен точно должно быть более красивое решение на этот счет. Логика примерно такоя перешагнул парог лимитов добавился в таблицу блоков.

xtables-addons → tarpit, например

tarpit не вариант.

вот как оно работает на PF

# Создаем таблицу для брутфорсеров
table <bruteforcers> persist
# Блокируем всех, кто в нее попадает
block in quick from <bruteforcers>
# Помещаем в таблицу bruteforcers всех, кто инициирует более двух соединений на
22-ой порт в минуту
pass in on $ext_if inet proto tcp to $outif \
port 22 flags S/SA keep state \
(max-src-conn-rate 60/2, overload <bruteforcers> flush)

http://www.fail2ban.org/wiki/index.php/Main_Page

получается средствами iptables это решить нельзя без костылей?

http://www.la-samhna.de/library/brutessh.html#3
похоже?

google: iptables recent hashlimit --- даёт вменяемые ответы.

# Создаем таблицу для брутфорсеров

Создаём цепочку для брутфорсеров
iptables -N brtchain

# Блокируем всех, кто в нее попадает

Заносим src-адреса попадющих в неё пакетов в список и уничтожаем пакет:
iptables -A bruteforcers -m recent --name brtlist --set -j DROP

Блокируем всех, кто попал в список:
iptables -I INPUT -m recent --name brtlist --rcheck -j DROP

# Помещаем в таблицу bruteforcers всех, кто инициирует более двух соединений на 22-ой порт в минуту

Проверяем по хешу с именем brthash частоту возникровения новых соединений на 22 порт и отправляем «лишнее» в цепочку brtchain:
iptables -m state --state NEW -p tcp --dport 22 -m hashlimit --hashlimit-name brthash --hashlimit-mode srcip --hashlimit-above 2/min -j brtchain

P.S. Ещё вам нужно погуглить относительно ip_list_tot так как по умолчанию в списке только 100 ip-адресов.

P.P.S. Не знаю, можно ли "-m recent --name antibrute --rcheck -j DROP" засунуть в таблицу raw, чтобы не нагружать лишними записями conntrack.

Всем спасибо. Вот еще статья для новичков как я http://ru.wikipedia.org/wiki/Iptables может кому нибудь понадобится.