Le 08/06/2014 13:58, Philippe Gras a écrit : > OK, ce n'est pas Debian, mais Iptables. Mais on peut l'installer sur une > Debian. > > Je n'ai pas vu de forum ou de liste dédiée à Iptables, alors je pose ma > question > ici même.
Personnellement, ça ne me dérange absolument que le sujet soit abordé ici. > OK pour cette démonstration, mais le cas que j'ai évoqué est différent, dans > la > mesure où j'ai dû établir ma règle pendant l'attaque, je ne l'ai pas écrite > avant. Certes, mais très honnêtement je pense que ça ne change rien au fait qu'avec les règles que tu indiquais : 1. iptables -A INPUT -p tcp --dport 80 -s 72.44.248.136 -j DROP 2. iptables -A INPUT -p tcp --dport 80 -s 66.23.229.10 -j DROP 3. iptables -A INPUT -m state --state RELATED,ESTABLISHED -p tcp --dport 80 -s 72.44.248.136 -j DROP 4. iptables -A INPUT -m state --state RELATED,ESTABLISHED -p tcp --dport 80 -s 66.23.229.10 -j DROP les règles 3 et 4 sont inutiles car si un paquet matche la 3, de toute façon il matchera la 1 avant et sera « dropé » et si un paquet matche la 4 il sera « dropé » de toute façon par la 2 avant. Mais au final, ce n'est pas très grave, il y a juste une sorte de redondance. Rien de bien méchant donc. > Je crois qu'il y a une explication à cet état de choses ici : > http://www.bortzmeyer.org/rate-limiting-dos.html > ============================================================= > Ici, on met les adresses IP dans une table nommée Web. On peut afficher son > contenu avec cat /proc/net/xt_recent/Web pour surveiller le bon > fonctionnement. On ne teste que les paquets TCP de type SYN, ceux envoyés > pour créer une nouvelle connexion (on aurait pu remplacer --tcp-flags SYN SYN > par -m state --state NEW mais cette commande est à état, ce qui est toujours > déconseillé face à une DoS). > ============================================================= Merci bien Philippe pour ce lien qui est très intéressant. Perso, j'y est appris pas mal de trucs. En revanche, je n'y ai pas trop vu le rapport avec la question soulevée ici. > Il existe apparemment une différence dans le traitement des paquets par > iptables > selon leur état. Vraiment je ne crois pas. Si, dans la définition d'une règle via iptables, tu ne précises rien quant à l'état de la connexion tcp, alors la règle ne dépendra pas de cet état, tout simplement. Dans le lien précédent en l'occurrence, les règles indiquées dépendent explicitement de l'état de la connexion car l'auteur cherche à attraper les paquets IP qui contiennent des segments tcp qui correspondent à des demandes de connexion d'où l'option « --tcp-flags SYN SYN » clairement spécifiée quasiment à chaque fois. -- François Lafont -- Lisez la FAQ de la liste avant de poser une question : http://wiki.debian.org/fr/FrenchLists Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe" vers debian-user-french-requ...@lists.debian.org En cas de soucis, contactez EN ANGLAIS listmas...@lists.debian.org Archive: https://lists.debian.org/539477fb.8070...@free.fr
