Есть в iptables ресет для tcp-соединения
iptables .... -p tcp ... -j REJECT --reject-with tcp-resetКак я понимаю, его можно применять только для новых соединений ( т.е. на --syn ). Если такое использовать для установленного соединения, то приемной стороне можно легко устроить DoS ? (ресет отправляется передающей стороне).
Что мешает посылать ресеты в обе стороны ( ведь номера последовательностей известны )?
К чему этот вопрос: для iptables есть layer7-extension (кернельный, замечательно работающий уже несколько лет и поддерживаемый для всех версий ядер).
Дописать туда паттерн (regexp) для блокировки некой последовательности символов не сложно. Дальше, если последовательность нашлась, то соединение можно разорвать. В сочетании с ipset получаем неплохую систему блокировки нежелательных запросов. Но получается, что ресет толком не сделать.
