ограничение скорости iptables с помощью DENY вместо ACCEPT

Question

Я знаю, что это странный вопрос, но я не мог найти никакого решения там. У меня проблема, когда, имея эти правила (из iptables-save):

-A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec --limit-burst 2 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 60/sec --limit-burst 20 -j ACCEPT

Все порты открыты, если они соответствуют правилам ограничения скорости. Итак, как я могу сделать так, чтобы эти правила запрещали все подключения выше ограничения скорости вместо того, чтобы разрешать все подключения ниже ограничений скорости?

Answer 1

Предложение: вы должны это правило, чтобы предотвратить блокировку текущих соединений:

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

---

-A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec --limit-burst 2 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 60/sec --limit-burst 20 -j ACCEPT

-A INPUT -p tcp -m tcp --tcp-flags RST RST -j DROP
-A INPUT -p tcp -m conntrack --ctstate NEW -j DROP

Теперь весь соответствующий трафик, который не принят по первому правилу, будет отброшен.