https://www.opennet.me/openforum/vsluhforumID10/3699.html Вот, долго мучаясь написал какой никакой антиспамовский скрипт:<br><br>-A FORWARD -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 5/min -j LOG_ACCEPT<br>-A FORWARD -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --update --seconds 300 --name spamer --rsource -j LOG_DROP<br>-A FORWARD -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --set --name spamer --rsource -j LOG_DROP<br><br>Заработал он у меня только в таком виде...Если я ставлю критерии,то все разваливается.<br>Я хотел бы у вас спросить совета, как мне правильно написать, что бы для каждого отдельного eth1.+ срабатывало свое антиспамовское правило...т.е. например: если больше 5 писем в минуту ушло с eth1.1 то заблокировало не все интерфейсы имеющиеся на машине, а именно eth1.1. Помогите пожалуйста. Заранее спасибо.<br> https://www.opennet.me/openforum/vsluhforumID10/3699.html#16 Fri, 14 Mar 2008 08:37:56 GMT &gt;[оверквотинг удален]<br>&gt;&gt;<br>&gt;&gt;<br>&gt;&gt;поместить первым и убрать все ключи -s. <br>&gt;&gt;И еще. Сто писем через smtp - это не значит 100 syn <br>&gt;&gt;пакетов. Вам тогда надо парсить в пакетах команду "RCPT TO". Только <br>&gt;&gt;iptables для этого, по-моему, не самое удачное решение. <br>&gt;<br>&gt;Хм...но ведь если вирус, и он шлет постоянно на разные адреса..то тогда <br>&gt;будет SYN. <br>&gt;Ок. Спс. Обязательно попробую такой вариант. <br><br>Естественно, чтобы подключиться нужно послать syn пакет.<br>Но в одной smtp сессии можно указать несколько команд RCPT TO.<br><br><br> https://www.opennet.me/openforum/vsluhforumID10/3699.html#15 Fri, 14 Mar 2008 08:30:10 GMT &gt;[оверквотинг удален]<br>&gt;А вашем варианте, наверное, надо было правило: <br>&gt;<br>&gt;-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK <br>&gt;SYN -m recent --update --seconds 300 --name spamer --rsource -j LOG_DROP <br>&gt;<br>&gt;<br>&gt;поместить первым и убрать все ключи -s. <br>&gt;И еще. Сто писем через smtp - это не значит 100 syn <br>&gt;пакетов. Вам тогда надо парсить в пакетах команду "RCPT TO". Только <br>&gt;iptables для этого, по-моему, не самое удачное решение. <br><br>Хм...но ведь если вирус, и он шлет постоянно на разные адреса..то тогда будет SYN.<br>Ок. Спс. Обязательно попробую такой вариант.<br> https://www.opennet.me/openforum/vsluhforumID10/3699.html#14 Fri, 14 Mar 2008 06:46:05 GMT &gt;[оверквотинг удален]<br>&gt;SYN -m limit --limit 5/min -j LOG_ACCEPT <br>&gt;-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK <br>&gt;SYN -m recent --update --seconds 300 --name spamer --rsource -j LOG_DROP <br>&gt;<br>&gt;-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK <br>&gt;SYN -m recent --set --name spamer --rsource -j LOG_DROP <br>&gt;<br>&gt;Потом отправил запустил вирусняк, для массовой отправки писем, в логах показывались, как <br>&gt;все прошли успешно. Почти 100 писем ушло...и этот источник не был <br>&gt;помечен как spamer.. <br><br>А вашем варианте, наверное, надо было правило:<br><br>-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --update --seconds 300 --name spamer --rsource -j LOG_DROP<br><br>поместить первым и убрать все ключи -s.<br>И еще. Сто писем через smtp - это не значит 100 syn пакетов. Вам тогда надо парсить в пакетах команду "RCPT TO". Только iptables для этого, по-моему, не самое удачное решение. https://www.opennet.me/openforum/vsluhforumID10/3699.html#13 Thu, 13 Mar 2008 14:49:18 GMT &gt;[оверквотинг удален]<br>&gt;&gt;&gt;--set <br>&gt;&gt;&gt;iptables -A FORWARD -p tcp --syn --dport 25 -m recent --name spamer <br>&gt;&gt;&gt;--update --seconds 60 --hitcount 5 -j DROP <br>&gt;&gt;<br>&gt;&gt;Оставив первое правило с ключем -s? <br>&gt;<br>&gt;Нет, попробуйте только эти два правила. <br>&gt;По идее, под эти правила должны попасть все syn пакеты, идущие на <br>&gt;25 порт. <br>&gt;Можно поиграться с параметрами --seconds и --hitcount(описание найдете). <br><br>Еще вариант:<br><br>iptables -A FORWARD -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 5/min -j ACCEPT<br>iptables -A FORWARD -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -j DROP<br><br>Так можно ограничить общее количество syn пакетов на 25 порт.<br><br> https://www.opennet.me/openforum/vsluhforumID10/3699.html#12 Thu, 13 Mar 2008 14:30:49 GMT &gt;[оверквотинг удален]<br>&gt;&gt;&gt;изменяются? <br>&gt;&gt;<br>&gt;&gt;Попробуйте так: <br>&gt;&gt;<br>&gt;&gt;iptables -A FORWARD -p tcp --syn --dport 25 -m recent --name spamer <br>&gt;&gt;--set <br>&gt;&gt;iptables -A FORWARD -p tcp --syn --dport 25 -m recent --name spamer <br>&gt;&gt;--update --seconds 60 --hitcount 5 -j DROP <br>&gt;<br>&gt;Оставив первое правило с ключем -s? <br><br>Нет, попробуйте только эти два правила.<br>По идее, под эти правила должны попасть все syn пакеты, идущие на 25 порт.<br>Можно поиграться с параметрами --seconds и --hitcount(описание найдете).<br> https://www.opennet.me/openforum/vsluhforumID10/3699.html#11 Thu, 13 Mar 2008 14:23:24 GMT &gt;[оверквотинг удален]<br>&gt;&gt;SYN -m recent --set --name spamer --rsource -j LOG_DROP <br>&gt;&gt;<br>&gt;&gt;изменяются? <br>&gt;<br>&gt;Попробуйте так: <br>&gt;<br>&gt;iptables -A FORWARD -p tcp --syn --dport 25 -m recent --name spamer <br>&gt;--set <br>&gt;iptables -A FORWARD -p tcp --syn --dport 25 -m recent --name spamer <br>&gt;--update --seconds 60 --hitcount 5 -j DROP <br><br>Оставив первое правило с ключем -s?<br><br><br> https://www.opennet.me/openforum/vsluhforumID10/3699.html#10 Thu, 13 Mar 2008 14:02:44 GMT &gt;[оверквотинг удален]<br>&gt;<br>&gt;А счетчики правил: <br>&gt;<br>&gt;-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK <br>&gt;SYN -m recent --update --seconds 300 --name spamer --rsource -j LOG_DROP <br>&gt;<br>&gt;-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK <br>&gt;SYN -m recent --set --name spamer --rsource -j LOG_DROP <br>&gt;<br>&gt;изменяются? <br><br>Попробуйте так:<br><br>iptables -A FORWARD -p tcp --syn --dport 25 -m recent --name spamer --set<br>iptables -A FORWARD -p tcp --syn --dport 25 -m recent --name spamer --update --seconds 60 --hitcount 5 -j DROP<br> https://www.opennet.me/openforum/vsluhforumID10/3699.html#9 Thu, 13 Mar 2008 13:36:04 GMT &gt;[оверквотинг удален]<br>&gt;&gt;Что не получилось? <br>&gt;<br>&gt;Для теста писал: <br>&gt;-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK <br>&gt;SYN -m limit --limit 5/min -j LOG_ACCEPT <br>&gt;-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK <br>&gt;SYN -m recent --update --seconds 300 --name spamer --rsource -j LOG_DROP <br>&gt;<br>&gt;-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK <br>&gt;SYN -m recent --set --name spamer --rsource -j -A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --update --seconds 300 --name spamer --rsource -j LOG_DROP<br><br>-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --set --name spamer --rsource -j LOG_DROP<br>&gt;<br>&gt;Потом отправил запустил вирусняк, для массовой отправки писем, в логах показывались, как <br>&gt;все прошли успешно. Почти 100 писем ушло...и этот источник не был <br>&gt;помечен как https://www.opennet.me/openforum/vsluhforumID10/3699.html#8 Thu, 13 Mar 2008 13:06:51 GMT &gt;[оверквотинг удален]<br>&gt;&gt;&gt;&gt;-s 192.168.x.0/255.255.255.0? что бы для каждого сегмента 192.168.х было свое ограничение <br>&gt;&gt;&gt;&gt;на кол-во отправленных писем? <br>&gt;&gt;&gt;<br>&gt;&gt;&gt;А что вам мешает попробовать это? <br>&gt;&gt;<br>&gt;&gt;Я пробывал,не получилось..Вот поэтому и спрашиваю совета, может там надо как-то по-другому <br>&gt;&gt;эти правила писать... <br>&gt;<br>&gt;Что писали? <br>&gt;Что не получилось? <br><br>Для теста писал:<br>-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 5/min -j LOG_ACCEPT<br>-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --update --seconds 300 --name spamer --rsource -j LOG_DROP<br>-A FORWARD -s 192.168.5.0/255.255.255.0 -p tcp -m tcp --dport 25 --tcp-flags FIN,SYN,RST,ACK SYN -m recent --set --name spamer --rsource -j LOG_DROP<br><br>Потом отправил запустил вирусняк, для массовой отправки писем, в логах показывались, как все прошли успешно. Почти 100 писем ушло...и этот источник не был помечен как spamer..<br><br>