iptables limitam a taxa com DENY em vez de ACCEPT

Question

Eu sei que essa é uma pergunta estranha, mas não encontrei nenhuma solução por aí. Eu tenho um problema ao ter essas regras (de iptables-save ):

-A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec --limit-burst 2 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 60/sec --limit-burst 20 -j ACCEPT

Todas as portas estão abertas desde que se ajustem às regras de limitação de taxa. Então, como posso fazer essas regras negarem todas as conexões acima do limite de taxa em vez de permitir todas as conexões abaixo dos limites de taxa?

    

Answer 1

Sugestão: você deve usar esta regra para impedir o bloqueio de conexões em andamento:

-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

-A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec --limit-burst 2 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 60/sec --limit-burst 20 -j ACCEPT

-A INPUT -p tcp -m tcp --tcp-flags RST RST -j DROP
-A INPUT -p tcp -m conntrack --ctstate NEW -j DROP

Agora, todo o tráfego correspondente que não for aceito pela primeira regra será descartado.