iptables descarta algumas conexões de 80 portas a cada 12 s

Question

Estou tendo um problema estranho. O problema é que o syslog contém (a cada 12 segundos) uma conexão registrada / bloqueada, por exemplo, esta é válida para o googlebot:

iptables denied: IN=eth0 OUT= SRC=66.249.66.52 DST=<MY_SERVER_IP> LEN=60 TOS=0x00 PREC=0x40 TTL=55 ID=49488 DF PROTO=TCP SPT=47902 DPT=80 WINDOW=14600 RES=0x00 SYN URGP=0 

ou este no Opera Mini:

iptables denied: IN=eth0 OUT= SRC=141.0.8.219 DST=<MY_SERVER_IP> LEN=60 TOS=0x00 PREC=0x40 TTL=58 ID=41251 DF PROTO=TCP SPT=50426 DPT=80 WINDOW=14600 RES=0x00 SYN URGP=0 

Regras do Iptables (regras ssh removidas):

# Generated by iptables-save v1.4.12 on Sat Sep 29 14:25:22 2012
*filter
:INPUT DROP [28:2605]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [54305:39093682]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 3306 -j ACCEPT
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
-A INPUT -i eth0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i eth0 -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -i lo -j ACCEPT
COMMIT
# Completed on Sat Sep 29 14:25:22 2012

Alguém sabe o que está acontecendo?

    

Answer 1

É a terceira regra INPUT, que registra amostras de todo o tráfego.

Na verdade, não está bloqueando o tráfego, a mensagem de log apenas lhe dá a impressão de que é.

Do iptables gerenciar

limit

  This  module  matches  at  a  limited  rate  using a token bucket filter.  A rule using this extension will match until this limit is reached

  (unless the ‘!’ flag is used).  It can be used in combination with the LOG target to give limited logging, for example.