LINUX.ORG.RU
Форум — Security  

iptables drop через string


0

2

есть небольшая проблема, правило в iptables вроде

INPUT -p tcp -m multiport --dports 80,443 -m string --string «l0xpox» --algo kmp -j DROP

отлично все режется, в логах апача нет ничего почти, но вот соединений выдется куча кучная

2816 ESTABLISHED

я так понимаю режется уже хттп запрос, а открытое соединение остается, можно ли убить весь коннект, а не только 1 пакет?

← Поиск информации о токенах и.т.п
[iptables]конфигурация для «домашнего» использования →

Ответ на: комментарий от roy

что-то поискал REJECTED, не нашел :)

а вот простой REJECT естесстенно пробовал, ничего не менялось.

тут нужно немного другое, что дроп, что реджект, отбрасывает пакет, а нужено закрыть все соединение.

может знает кто обходные пути?

gooftime
() автор топика
Ответ на: комментарий от gooftime

Да, опечатался. Вообще реджект пакета на установку соединения и не должен открывать это соединение. А точно эти ESTABLISHED соединения относятся к дропнутым пакетам? Может это вполне нормальные соединения, прошедшие через фильтр?

roy ★★★★★
()
Ответ на: комментарий от roy

> Вообще реджект пакета на установку соединения и не должен открывать это соединение

Только в данном случае соединение уже установлено, REJECT/DROP-то делается уже по содержимому HTTP-сессии, которая идет по этому соединению

YAR ★★★★★
()
Ответ на: комментарий от roy

к сожалению атака закончилась, но --reject-with tcp-reset пробовал, может правда забыл сделать именно в этом правиле, там много по чему резалось.

в любом случае если есть еще варианты, с радостью приму.

gooftime
() автор топика
Ответ на: комментарий от gooftime

Я думаю лучше всего запускать tcpdump и смотреть, что происходит. Я не эксперт, но по описанию такой реджект должен закрывать соединение.

roy ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Поиск информации о токенах и.т.п
Security
[iptables]конфигурация для «домашнего» использования →