[IPtables] gegen (D)DoS o.ä...

[Hu5eL]

Hallo, ich hoffe ich spreche ein Thema an, was viele Root- (oder Virtual-)Server besitzer betrifft.., es geht um iptables.

Gibt es eine gute Regel gegen (D)DoS?
Wie handhabt ihr aktiv und passives FTP in euerer "Firewall"?

Oder habt ihr sonst allgemein nützliche Infos?!

[dylan]

ich weiß zwar auch nicht mehr den richtigen befehl, aber man kann es recht bequem einstellen das eine ip nicht mehr als eine bestimmte anzahl an verbindungen offen haben darf und des es nur eine bestimmte anzahl an verbindungsversuche in einer bestimmten zeit angenommen werden, sonst gehts direkt in dev0 und stört nicht mehr so wirklich, ausser das bissl bandbreite durch traffic flöten geht

[Trii]

Du kannst _nichts_ gegen DDoS machen!
Es kommt immer auf die Anzahl der floodenden Bots an .. also wie groß das Netz ist.

[H4x0r007]

Du kannst _nichts_ gegen DDoS machen!

Doch... Du kaufst dir eine 2x so gute Leitung wie Rapidshare hat und da kommts auf die paar Gigabits die da verloren gehen gar nicht mehr an...

b2t: Gegen wenig Bots (ca. 400-700) kannst du schon was machen mit iptables. Am besten ist es, dass du nur die Protokolle und Ports erlaubst, die du auch wirklich brauchst. Wenn du alle anderen Pakete verwirfst, bist du schonmal gegen Syn-Attacken geschützt, was nicht heißt, dass die Leitung nicht verstopft werden kann durch die hohe Menge an Anfragen.

Wie handhabt ihr aktiv und passives FTP in euerer "Firewall"?

Bitte benutze kein FTP! Wenn dann SFTP!
(Da im FTP-Protokoll deine Zugangsdaten unverschlüsselt übertragen werden und dass ist auch nicht unbedingt das gelbe vom Ei)

[echoslider]

Doch... Du kaufst dir eine 2x so gute Leitung wie Rapidshare hat und da kommts auf die paar Gigabits die da verloren gehen gar nicht mehr an...

lol witzpille.


gegen dos gibts nur nen schutz. komplett alles sperren. was rein und was raus geht. und dann gezielt das freigeben was du brauchst. für regeln die falsche pakete oder so droppen hab ich auch länger gesucht.

    # Tabelle flushen
    sudo iptables -F
    sudo iptables -t nat -F
    sudo iptables -t mangle -F
    sudo iptables -X
    sudo iptables -t nat -X
    sudo iptables -t mangle -X

    # Default-Policies setzen
    sudo iptables -P INPUT DROP
    sudo iptables -P OUTPUT DROP
    sudo iptables -P FORWARD DROP
    sudo iptables -t nat -P PREROUTING ACCEPT
    sudo iptables -t nat -P POSTROUTING ACCEPT
    sudo iptables -t nat -P OUTPUT ACCEPT
    sudo iptables -t mangle -P PREROUTING ACCEPT
    sudo iptables -t mangle -P OUTPUT ACCEPT
    sudo iptables -t mangle -P FORWARD ACCEPT
    sudo iptables -t mangle -P INPUT ACCEPT
    sudo iptables -t mangle -P POSTROUTING ACCEPT


  # Loopback-Netzwerk-Kommunikation und LAN zulassen
    sudo iptables -A INPUT -i lo -j ACCEPT
    sudo iptables -A OUTPUT -o lo -j ACCEPT

    # Setzt die MMS (Maximum Segment Size) auf weniger 40Bytes für SYN,RST SYN Packete
    sudo iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

    #TCP-SYN-Pakete ohne Status NEW droppen
    sudo iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

    # Korrupte Pakete zurückweisen
    sudo iptables -A INPUT -m state --state INVALID -j DROP
    sudo iptables -A OUTPUT -m state --state INVALID -j DROP

    # falsche gesendete pakete    
    sudo iptables -A INPUT -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j DROP

    #Limiting the incoming icmp ping request:
    sudo iptables -A INPUT -p icmp -m limit --limit  1/s --limit-burst 1 -j ACCEPT

    # ping
    sudo iptables -A INPUT -p icmp --icmp-type echo-reply -j ACCEPT
    #sudo iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT #
    sudo iptables -A INPUT -p icmp -j DROP
    sudo iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
    #sudo iptables -A OUTPUT -p icmp --icmp-type echo-reply -j ACCEPT #
    sudo iptables -A OUTPUT -p icmp -j DROP

  #ping of death
    sudo iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

    #connection tracking/passive connection
    sudo iptables -A OUTPUT -p tcp --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
    sudo iptables -A OUTPUT -p udp --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
    sudo iptables -A INPUT -p tcp --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
    sudo iptables -A INPUT -p udp --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
    sudo iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

   #ssh brutefoce schutz
    sudo iptables -A INPUT -p tcp --sport $sshport -m state --state NEW -m recent --set --name SSH -j ACCEPT
    sudo iptables -A INPUT -p tcp --sport $sshport -m recent --update --seconds 60 --hitcount 4 --rttl  --name SSH -j ULOG --ulog-prefix SSH_brute_force
    sudo iptables -A INPUT -p tcp --sport $sshport -m recent --update --seconds 60  --hitcount 4 --rttl --name SSH -j DROP

    #synflood
    sudo iptables -A INPUT -m state --state NEW -p tcp -m tcp --syn -m recent --name synflood --set
    sudo iptables -A INPUT -m state --state NEW -p tcp -m tcp --syn -m recent --name synflood --update --seconds 1 --hitcount 60 -j DROP

    # portscanner
    sudo iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags ALL ALL -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags ALL NONE -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -m limit --limit 7200/h -j LOG --log-prefix "PORTSCAN DROP: " --log-level 6
    sudo iptables -A INPUT -p tcp --tcp-flags ALL FIN,URG,PSH -j DROP
    sudo iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
    sudo iptables -A INPUT -p tcp --tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
    sudo iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
    sudo iptables -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
    sudo iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
    sudo iptables -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP
    sudo iptables -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP
    sudo iptables -A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP
    sudo iptables -A FORWARD -p tcp --tcp-flags ALL NONE -m limit --limit 1/h -j ACCEPT 
    sudo iptables -A FORWARD -p tcp --tcp-flags ALL ALL -m limit --limit 1/h -j ACCEPT
    sudo iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
    sudo iptables -A INPUT   -m recent --name portscan --rcheck --seconds 86400 -j DROP
    sudo iptables -A FORWARD -m recent --name portscan --rcheck --seconds 86400 -j DROP
    sudo iptables -A INPUT   -m recent --name portscan --remove
    sudo iptables -A FORWARD -m recent --name portscan --remove

    # Schutz vor IP-Spoofing aktivieren
    for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
    echo 1 > $f
    done


   #maximal 20 verbindungen in einer minute erlauben
    #sudo iptables -A INPUT -j LOG --log-prefix "ACCESS LIMIT: " --log-level 6 -m limit --limit 20/m
    #sudo iptables -A INPUT -m limit --limit 20/m -j DROP

    # max. 3 neue Verbindungen in 5 Sekunden pro Quelladresse erlauben
    sudo iptables -A INPUT -m state --state NEW -m recent --set
    sudo iptables -A INPUT -m state --state NEW -m recent --update --seconds 5 --hitcount 3 -j DROP

    # Max. 500/Sekunde (5/Jiffie) senden
    echo 5 > /proc/sys/net/ipv4/icmp_ratelimit

    # Speicherallozierung und -timing für IP-De/-Fragmentierung
    echo 262144 > /proc/sys/net/ipv4/ipfrag_high_thresh
    echo 196608 > /proc/sys/net/ipv4/ipfrag_low_thresh
    echo 30 > /proc/sys/net/ipv4/ipfrag_time

    # Maximal 3 Antworten auf ein TCP-SYN
    echo 3 > /proc/sys/net/ipv4/tcp_retries1

    # TCP-Pakete maximal 15x wiederholen
    echo 15 > /proc/sys/net/ipv4/tcp_retries2

    # ICMP Dead Error Messages protection.
    echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

    # TCP-FIN-Timeout zum Schutz vor DoS-Attacken setzen
    echo 1800 > /proc/sys/net/ipv4/tcp_keepalive_time
    echo 0 > /proc/sys/net/ipv4/tcp_window_scaling
    echo 0 > /proc/sys/net/ipv4/tcp_sack
    echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout

    # Required to enable IPv4 forwarding.
    echo "1" > /proc/sys/net/ipv4/ip_forward

    # This enables dynamic address hacking.
    echo "1" > /proc/sys/net/ipv4/ip_dynaddr

    # This enables SYN flood protection.
    echo "1" > /proc/sys/net/ipv4/tcp_syncookies

    # Ping flood protection
    echo 1 > /proc/sys/net/ipv4/icmp_ratelimit

    # This enables source validation by reversed path according to RFC1812.
    echo "1" > /proc/sys/net/ipv4/conf/all/rp_filter

    # This option allows a subnet to be firewalled with a single IP address.
    echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp

    # This kernel parameter instructs the kernel to ignore all ICMP
    echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

    # This option can be used to accept or refuse source routed
    echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route

    # This option can disable ICMP redirects.  ICMP redirects
    echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects

    # Reverse-Path-Filter
    echo "2" > /proc/sys/net/ipv4/conf/all/rp_filter

    # Proxy-ARP ausschalten
    echo "0" > /proc/sys/net/ipv4/conf/all/proxy_arp

    # This option accepts only from gateways in the default gateways list.
    echo "1" > /proc/sys/net/ipv4/conf/all/secure_redirects

    # This option logs packets from impossible addresses.
    echo "1" > /proc/sys/net/ipv4/conf/all/log_martians

    # BOOTP-Relaying ausschalten
    echo 0 > /proc/sys/net/ipv4/conf/all/bootp_relay

hab ich mal aus meiner fw zusammengewürfelt.



das problem ist bei ddos. das ein einziger bot so geringe bedrohung verursacht das es die firewall nicht interessiert. aber die firewall betrachtet ur einselne verbindungen. nie alle verbindungen gleichzeitig. und aus vielen kleinen störungen wird halt eine gewaltig große..