Kernel panic sob DDOS

Question

Eu estou rodando um sistema Debian de 6 - 64 bits (Kernel 2.6.32-5-amd64) e frequentemente sou inundado com DDOS. Eu ajustei os parâmetros de rede em /etc/sysctl.conf para não deixar nenhum estouro de parâmetro do kernel. Embora muitos dos parâmetros estivessem bons, mas comecei a observar as mensagens "nf_conntrack: table full" em ** / var / log / messages **, então, para superar isso, adicionei algumas otimizações adicionais e aumentei os parâmetros. Aqui estão algumas saídas de " sysctl -a ",

net.netfilter.nf_conntrack_max = 256000
net.netfilter.nf_conntrack_count = 124
net.netfilter.nf_conntrack_buckets = 256000
net.netfilter.nf_conntrack_generic_timeout = 120
kernel.printk_ratelimit = 30
kernel.printk_ratelimit_burst = 200

Isso cuidou das mensagens "nf_conntrack: table full" por um tempo, mas agora estou recebendo as mensagens a seguir constantemente e muitas vezes meu sistema não responde à sua rede. Vejo algumas mensagens " nf_conntrack: table full " novamente junto com um spam de " estouro de cache dst ",

link

O ataque que estou recebendo não é alto o suficiente, mas o invasor me inunda com cerca de 30k PPS continuamente por horas que causam isso.

Essas saídas podem ser úteis também

grep . /proc/sys/net/ipv4/route/*
/proc/sys/net/ipv4/route/error_burst:1250
/proc/sys/net/ipv4/route/error_cost:250
/proc/sys/net/ipv4/route/gc_thresh:131072