Попытка понять правило анти-TCP SYN флуд атаки IPTables

Question

Я сейчас работаю в университете. Я изучаю брандмауэры, и мне нужно настроить IPTables на компьютере с Ubuntu, чтобы предотвратить атаку TCP SYN.

Я понимаю, что этот тип атаки заключается в отправке серверу большого количества запросов SYN без последующего подтверждения ACK после ответа SYN-ACK, в результате чего сервер ожидает и, следовательно, тратит свои ресурсы.

Просматривая Интернет, я нашел это правило IPTables на нескольких веб-сайтах:

iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

Я не могу понять, как эта запись должна предотвратить атаку. Я интерпретирую это как «Отключение любого нового TCP-соединения без флага SYN». Я что-то пропустил?

Answer 1

Это правило iptables не предотвратит атаки SYN-флуд. Как вы говорите, он будет отбрасывать любые новые, не SYN TCP-пакеты. Он будет принимать только новые соединения TCP, которые включают пакет SYN.

Чтобы предотвратить SYN-атаки с использованием iptables, вам нужно использовать ограничение скорости.

Answer 2

Synflood - такая устаревшая техника, как winnuke. Ядро Linux имеет собственную защиту (net.ipv4.tcp_syncookies) с 1999 года (!), Поэтому ваша единственная задача - включить его с помощью sysctl, но это долгое время используется по умолчанию.

sysctl net.ipv4.tcp_syncookies=1