Új hozzászólás Aktív témák

• Shyciii veterán

  #8599

  #8598 Siriusb

  2022-10-25 14:56:56

  Új Válasz

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  

  Shyciii

  veterán

  #8598 Siriusb

  Vannak előre definiált számokhoz tartozó stringek. Ilyen pl a filter is, aminek az értéke 0. Én jobban szeretek számot használni. Anúgy a gyári alapbeállítás nekem az volt, hogy minden, minden irányba engedett, vagyis befelé is jöhetett minden. Az általam először leírt merőben más.
  Egy folyamatosan kint levő komolyabb szerveren érdemes még ezeket is használni:

  table netdev drop-bad-packets {
  chain ingress {
  type filter hook ingress device ens19 (ez nyilván másnak más) priority -500;

  # ip fragments
  ip frag-off & 0x1fff != 0 counter drop

  # drop tcp "xmas" packets (bad flag combo)
  tcp flags & (fin | psh | urg) == fin | psh | urg counter drop

  # drop tcp packets with no flags
  tcp flags & (fin|syn|rst|psh|ack|urg) == 0x0 counter drop

  # drop tcp packets with mss below minimum
  tcp flags syn tcp option maxseg size 1-535 counter drop
  }
  }

  table inet drop-bad-ct-states {
  chain prerouting {
  type filter hook prerouting priority -150;

  # drop packets in "invalid" connection-tracking state
  ct state invalid counter drop

  # drop tcp packets for new connections that aren't syn packets
  ct state new tcp flags & (fin|syn|rst|ack) != syn counter drop

  # drop new connections over rate limit (ez nagyon függ attól, hogy mit csinálsz a gépeden). Minél több mindent, és hektikus a terheltség, annál inkább használhatatlan ez.
  ct state new limit rate over 20/second burst 41 packets counter drop
  }
  }

  Ezenfelül még lehet tiltani a BOGONS ip-ket, mert értelmes adat onnan nem jöhet, de az már egy home szerveren jócskán túlmutat. Igazság szerint ha nem valami fontos, cég szintű dolgokat tárolsz, akkor a felső sorokra se nagyon van szükséged, max a drop-bad-ct-states táblára.

Új hozzászólás Aktív témák