( Read more... )

( Нештатное применение TTL )
Когда нужно выйти по SSH из сети, в которой закрыто всё кроме, например, 443 и 80 портов, легко переадресовать любой из этих портов на 22 для конкретной сети или хоста:
iptables -t nat -A PREROUTING -p tcp -s firewall.example.com \ --dport 80 -j REDIRECT --to-port 22Но у этого способа есть существенный недостаток. ( Read more... )

Если я после всех разрешающих правил добавляю -j LOG в цепочку INPUT, то при каждом DNS-запросе вылезает следующее:
( IN=eth0 OUT= PROTO=UDP SPT=53 DPT=xxxxx )

Настроим IP sets в Debian, для этого:
aptitude install ipset module-assistant auto-install ipset-source
Используем ipset на полную.

Отсекаем DDoS по 80-му порту на уровне iptables: ( iptables+ipset )

Настраиваем iptables в Debian, выжимка из этого документа. ( iptables.up.rules )

Какие еще существуют методы борьбы с SYN-флудом, кроме net.ipv4.tcp_syncookies?

И, естественно, кроме полного отказа от приёма трафика.