Módulo recente, o que é preferido rcheck ou update?

Question

Digamos que eu tenha as seguintes regras:

iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
iptables -A INPUT -p tcp -m conntrack --ctstate NEW -m tcp --dport 22 -m recent --set --name counting1 --rsource 
iptables -A INPUT -m recent --update --seconds 60 --hitcount 2 --name counting1 --rsource -j LOG --log-prefix "SSH  ataque " 
iptables -A INPUT -m recent --update --seconds 60 --hitcount 2 --name counting1 --rsource -j RETURN 
-A INPUT -j ACCEPT

Eu li o manual, mas ainda não entendi exatamente em quais casos é preferível a opção --rcheck ou --update ... update significa que o hitcount é redefinido como 0 e reiniciado (como em o exemplo acima) os 60 segundos?

Por favor, tenha em mente que estas regras são apenas exemplos para expor esta questão

Obrigado antecipadamente

Obrigado antecipadamente

    

Answer 1

Da página man do iptables:

   [!] --rcheck
          Check if the source address of the packet is  currently  in  the
          list.

   [!] --update
          Like  --rcheck,  except it will update the "last seen" timestamp
          if it matches.

Portanto, usar update não redefinirá o hitcount, mas (re) definirá o último registro de data e hora visto. O que se segue é dito sobre --seconds :

   --seconds seconds
          This  option must be used in conjunction with one of --rcheck or
          --update. When used, this will narrow the match to  only  happen
          when  the  address  is  in the list and was seen within the last
          given number of seconds.

Isso significa que usar --rcheck faz a regra corresponder apenas ao intervalo de tempo especificado na regra (por exemplo, com --seconds ) por vez, enquanto usar --update estenderá o intervalo de tempo em que a regra será correspondida se corresponder pacotes são encontrados durante o intervalo.

Portanto, se houver um pacote correspondente a cada 45 segundos, as regras de exemplo mostradas na pergunta continuarão registrando os pacotes e retornando da cadeia. OTOH se --rcheck tivesse sido usado, cada segundo pacote não seria correspondido (como o intervalo de 60 segundos para dois pacotes correspondentes expirou).