nftablesはIPv4とIPv6をブラックリストに動的に追加します。

Question

この試み

table inet filter {
  set blackhole_4 {
    type ipv4_addr
    flags timeout
  }
  set blackhole_6 {
    type ipv6_addr
    flags timeout
  }
  set greed_4 {
    type ipv4_addr
    flags dynamic
    size 128000
  }
  set greed_6 {
    type ipv6_addr
    flags dynamic
    size 128000
  }
  chain input {
    type filter hook input priority 0;
    ct state new tcp flags syn tcp dport 8000 add @greed_4 { ip saddr ct count over 3 } add @blackhole_4 { ip  saddr timeout 1m } drop
    ct state new tcp flags syn tcp dport 8000 add @greed_6 { ip6 saddr ct count over 3 } add @blackhole_6 { ip6  saddr timeout 1m } drop
  }
}

編集：@User1404316の説明：@Zipがおそらく（正しく）説明を要求したためです。私が知っている限り：ct1つだけ紹介してください接続追跡ルール、この場合new tcp接続の場合はポート8000に移動する場合（dport例宛先ポート）、事前定義されたコレクションコレクションにソースIPv4を追加しますgreed_4。これが起こると、ルールは最初の角かっこ条件に続きます。つまり、ソースアドレスに3つ以上のアクティブ接続がある場合、ソースIPv4は2番目の事前定義されたセットに追加されますが、blackhole_4それを1分間だけ保持します。ルールから離れていて、接続が切断されました。

もともと投稿された回答には2行の長い行が切り捨てられましたが、それが何でなければならないと思うかを把握して上に挿入しました。良いニュースは、テストの結果、この回答に効果があるということです！

残りの疑問はコレクションセットのサイズをいつ決めるか、どれだけ大きく設定するのか気になって一応はそのままにしました。

Answer 1

この試み

table inet filter {
  set blackhole_4 {
    type ipv4_addr
    flags timeout
  }
  set blackhole_6 {
    type ipv6_addr
    flags timeout
  }
  set greed_4 {
    type ipv4_addr
    flags dynamic
    size 128000
  }
  set greed_6 {
    type ipv6_addr
    flags dynamic
    size 128000
  }
  chain input {
    type filter hook input priority 0;
    ct state new tcp flags syn tcp dport 8000 add @greed_4 { ip saddr ct count over 3 } add @blackhole_4 { ip  saddr timeout 1m } drop
    ct state new tcp flags syn tcp dport 8000 add @greed_6 { ip6 saddr ct count over 3 } add @blackhole_6 { ip6  saddr timeout 1m } drop
  }
}

編集：@User1404316の説明：@Zipがおそらく（正しく）説明を要求したためです。私が知っている限り：ct1つだけ紹介してください接続追跡ルール、この場合new tcp接続の場合はポート8000に移動する場合（dport例宛先ポート）、事前定義されたコレクションコレクションにソースIPv4を追加しますgreed_4。これが起こると、ルールは最初の角かっこ条件に続きます。つまり、ソースアドレスに3つ以上のアクティブ接続がある場合、ソースIPv4は2番目の事前定義されたセットに追加されますが、blackhole_4それを1分間だけ保持します。ルールから離れていて、接続が切断されました。

もともと投稿された回答には2行の長い行が切り捨てられましたが、それが何でなければならないと思うかを把握して上に挿入しました。良いニュースは、テストの結果、この回答に効果があるということです！

残りの疑問はコレクションセットのサイズをいつ決めるか、どれだけ大きく設定するのか気になって一応はそのままにしました。

nftablesはIPv4とIPv6をブラックリストに動的に追加します。

ベストアンサー1

おすすめ記事