nftables는 IPv4 및 IPv6를 동적으로 블랙리스트에 추가합니다.

Question

이 시도

table inet filter {
  set blackhole_4 {
    type ipv4_addr
    flags timeout
  }
  set blackhole_6 {
    type ipv6_addr
    flags timeout
  }
  set greed_4 {
    type ipv4_addr
    flags dynamic
    size 128000
  }
  set greed_6 {
    type ipv6_addr
    flags dynamic
    size 128000
  }
  chain input {
    type filter hook input priority 0;
    ct state new tcp flags syn tcp dport 8000 add @greed_4 { ip saddr ct count over 3 } add @blackhole_4 { ip  saddr timeout 1m } drop
    ct state new tcp flags syn tcp dport 8000 add @greed_6 { ip6 saddr ct count over 3 } add @blackhole_6 { ip6  saddr timeout 1m } drop
  }
}

편집: @User1404316의 설명: @Zip이 아마도 (올바르게) 설명을 요청했기 때문입니다. 내가 아는 한: ct하나만 소개해주세요연결 추적규칙, 이 경우 new tcp연결의 경우 포트 8000으로 이동하는 경우( dport예목적지 포트), 미리 정의된 컬렉션 컬렉션에 소스 IPv4를 추가합니다 greed_4. 이런 일이 발생하면 규칙은 첫 번째 대괄호 조건으로 계속됩니다. 즉, 소스 주소에 3개 이상의 활성 연결이 있는 경우 소스 IPv4가 두 번째 사전 정의된 세트에 추가되지만 blackhole_4이를 1분 동안만 유지합니다. 규칙에서 멀리 떨어져 있다가 연결이 끊어졌습니다.

원래 게시된 답변에는 두 줄의 긴 줄이 잘렸지만, 그것이 무엇이어야 한다고 생각하는지 파악하여 위에 삽입했습니다. 좋은 소식은 테스트 결과 이 답변이 효과가 있다는 것입니다!

남은 궁금증은 컬렉션 세트의 크기를 언제 정할지, 얼마나 크게 설정할지 궁금해서 일단은 그대로 두었습니다.

Answer 1

이 시도

table inet filter {
  set blackhole_4 {
    type ipv4_addr
    flags timeout
  }
  set blackhole_6 {
    type ipv6_addr
    flags timeout
  }
  set greed_4 {
    type ipv4_addr
    flags dynamic
    size 128000
  }
  set greed_6 {
    type ipv6_addr
    flags dynamic
    size 128000
  }
  chain input {
    type filter hook input priority 0;
    ct state new tcp flags syn tcp dport 8000 add @greed_4 { ip saddr ct count over 3 } add @blackhole_4 { ip  saddr timeout 1m } drop
    ct state new tcp flags syn tcp dport 8000 add @greed_6 { ip6 saddr ct count over 3 } add @blackhole_6 { ip6  saddr timeout 1m } drop
  }
}

편집: @User1404316의 설명: @Zip이 아마도 (올바르게) 설명을 요청했기 때문입니다. 내가 아는 한: ct하나만 소개해주세요연결 추적규칙, 이 경우 new tcp연결의 경우 포트 8000으로 이동하는 경우( dport예목적지 포트), 미리 정의된 컬렉션 컬렉션에 소스 IPv4를 추가합니다 greed_4. 이런 일이 발생하면 규칙은 첫 번째 대괄호 조건으로 계속됩니다. 즉, 소스 주소에 3개 이상의 활성 연결이 있는 경우 소스 IPv4가 두 번째 사전 정의된 세트에 추가되지만 blackhole_4이를 1분 동안만 유지합니다. 규칙에서 멀리 떨어져 있다가 연결이 끊어졌습니다.

원래 게시된 답변에는 두 줄의 긴 줄이 잘렸지만, 그것이 무엇이어야 한다고 생각하는지 파악하여 위에 삽입했습니다. 좋은 소식은 테스트 결과 이 답변이 효과가 있다는 것입니다!

남은 궁금증은 컬렉션 세트의 크기를 언제 정할지, 얼마나 크게 설정할지 궁금해서 일단은 그대로 두었습니다.

nftables는 IPv4 및 IPv6를 동적으로 블랙리스트에 추가합니다.

답변1

관련 정보