iptables 问题

Distributions

› Ubuntu

› Fedora

› CentOS

中文资源站

› 网易开源镜像站

This topic created in 4108 days ago, the information mentioned may be changed or developed.

能不能写个udp过虑用于dns服务器
把53端口限制每个ip 60秒只能请求一次来防止查询攻击

过虑

udp

iptables

5 replies • 2015-04-29 18:38:09 +08:00

millken

Apr 28, 2015

UDP包的源IP是可以伪造的，限制IP是不可行的。
现在常规的防查询都是硬防直接转TCP

extreme

Apr 28, 2015

为什么你们那么喜欢答非所问？

iptables -I OUTPUT 1 -m hashlimit -p udp --dport 53 --hashlimit-mode srcip --hashlimit-srcmask 32 --hashlimit-name dnsquery --hashlimit-upto 1/min -j ACCEPT
iptables -I OUTPUT 2 -p udp --dport 53 -j DROP
这个规则的意思是，针对UDP协议且目标端口为53的数据包，每个/32(一个IP)在一分钟内仅能发出一个。
理论上一次DNS查询是发送出一个UDP数据包，实际上我也不清楚，期待有了解的人解说一下。

holinhot

Apr 29, 2015

@extreme 上面说的伪造ip那不是规则作用不大了

extreme

Apr 29, 2015

@holinhot 汽车前后的车牌可以伪造呢，那交警记录车票号码意义不大了对吧？
毕业证书可以伪造呢，那企业招聘人看毕业证书意义不大了对吧？
身份证可以伪造呢，那用身份证验证身份的意义不大了对吧？你身边可以伪造的东西多着呢，意义都不大了，对吧？

extreme

Apr 29, 2015

@holinhot 汽车前后的车牌可以伪造呢，那交警记录车牌号码意义不大了对吧？
毕业证书可以伪造呢，那企业招聘人看毕业证书意义不大了对吧？
身份证可以伪造呢，那用身份证去验证身份的意义不大了对吧？
你身边可以伪造的东西多着呢，意义都不大了，对吧？