iptables limites

Question

Temos um ubuntu configurado como firewall (basic iptables), o problema é que temos uma máscara de rede de 255.255.0.0, ou seja, quase 65531 endereços possíveis.

Como eu quero monitorar o tráfego de download por IP, eu preciso fazer milhares de regras (eu tenho um script que pode fazer isso), mas o meu servidor suportará esse número de regras?

configuração:

Dell optiplex 7210    
core i3 2.6Ghz    
4GB RAM    
50GB HD

    

Answer 1

De aqui eu entendo que o limite teórico seria de cerca de 38 milhões em Sistemas de 32 bits, então eu acho que sistemas de 64 bits seriam muito mais. Mas novamente da fonte acima mencionada, qualquer coisa acima de 25,000 rules say 27,000 se tornaria um problema.

Os problemas são principalmente o uso de memória nesses sistemas com um número tão grande de iptable rules , é sugerido que se pode usar:

1. ipsets de aqui e
2. geoip modules para iptables de aqui ao segmentar um país

Citação de um usuário (pdepartida) aqui :

  

Algumas semanas atrás eu estava recebendo solicitações massivas da porta 80 para um 404 no meu servidor, que estava anexado ao meu domínio, então eu não poderia simplesmente alterar o ip ou o que quer que fosse.

     

Eu precisava bloquear este pedido de bot e ainda ter meu apache funcionando, então comecei a bloquear dinamicamente o iptables. No final das primeiras 24 horas já estava bloqueando mais de 22'000 ip's distintos. Eu tive que atualizar meu linode com 90 MB extras de RAM (de um linode 360), mas tudo estava bem!

     

Após uma semana eu já tinha bloqueado mais de 53.000 ips diferentes. Tudo correu como um encanto e ainda foi capaz de manter o apache funcionando até que, eventualmente, os bots pararam de tentar ...

     

A propósito, eu corri mesas uma vez por semana, apenas no caso.

Então, isso realmente depende da sua memória disponível.