Blockieren von Web-Bots mit iptables

Question

Ich versuche, Web-Bots zu blockieren, die innerhalb kurzer Zeit zahlreiche Verbindungen öffnen. Ich verwende diese Syntax:

-A INPUT -p tcp --dport 80 -m state --state NEW -m recent --set
-A INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 1 --hitcount 20 -j logdropconnection

Mein Problem ist, dass ich diese Parameter nicht lockern kann, ohne dass iptables einen Fehler wirft. Wenn ich versuche, den hitcount über 20 zu erhöhen, erhalte ich einen Fehler. Sollte ich das nicht auf beliebige Werte setzen können? Zum Beispiel, meine Verbindungen auf 100/Sekunde beschränken?

Answer 1

Da Sie den Fehler nicht in Ihrer Frage erwähnt haben, werde ich mutmaßen, dass dmesg diesen Fehler anzeigt:

xt_recent: hitcount (100) ist größer als die zu merkenden Pakete (20)

Dies ist eine Einstellung des xt_recent (manchmal auch als ipt_recent bezeichnet) Kernel-Moduls.

Sie können das Limit erhöhen, indem Sie /etc/modprobe.d/options.conf aktualisieren (oder erstellen) mit:

options xt_recent ip_pkt_list_tot=100

Hinweis: Dies könnte ein Problem bei der Implementierung auf VPS-Hosts mit Kernel-Sharing-Funktionen sein.