[CentOS] HTTP connecties limiet met vuurmuur / iptables

[G F0rce 1]

Hi,

Met behulp van vuurmuur (manager voor iptables) ben ik bezig een cluster van varnish servers te beveiligen tegen mogelijke DOS aanvallen.

Het is met vuurmuur / iptables mogelijk het aantal TCP connecties per poort te limiteren tot een maximaal aantal per tijdsperiode vanaf een bepaald bron (IP). Ik heb echter moeite met het vaststellen van een goed getal / tijdsperiode hiervoor en ik kan hier ook geen duidelijke algemene richtlijn voor vinden. Hoeveel TCP connectie gebruikt een normale client / browser normaal bij het bezoek van een gemiddelde website. Vanaf wanneer kun je spreken van misbruik of DOS?

Ik ben benieuwd of er Tweakers zijn met ervaring / adviezen met betrekking tot het instellen van deze waardes?

Alvast bedankt!

[d1ng]

Je zal het even moeten gaan monitoren om zeker te zijn dat je niet te vroeg begint te blocken. Ik zou in ieder geval niet te krap gaan gaan zitten met aantal connecties per ip maar ruim voldoende nemen. Denk er bv. ook aan als 1 of meer van je sites/links op een school of bedrijf bekend wordt en ineens beginnen 180 man met hetzelfde ip op hetzelfde moment je site te rap.., euh bezoeken. Keer het aantal connecties dat je site/link opent per persoon.

[G F0rce 1]

Bedankt voor je reactie. Ik had inderdaad ook al zitten denken over het NAT probleem. Ik heb de logs van iptables geanalyseerd en zag nooit meer dan 205 logregels vanaf een IP per minuut. Echter ik weet niet of één regel in het iptables log één connectie betekent. Ook is er een loglimiet van maximaal 30 regels per seconde dus is het log sowieso niet erg betrouwbaar.

Is er een andere manier waarop ik het aantal connecties vanaf één afzender kan monitoren?

[DennusB]

Installeer bijvoorbeeld cacti Kan je prima mooie grafiekjes maken van het aantal connecties!

[G F0rce 1]

Ik heb reeds een Cacti installatie draaien waar een hoop gegevens in worden gelogged. Het gaat hier echter specifiek om het aantal connecties vanaf één IP-adres, dit moet continu in gaten worden gehouden om zo een realistische bovengrens te kunnen vaststellen. Ik weet niet of dat met Cacti makkelijk lukt ...