оптимизация в iptables
Tamahome 28 апреля, 2008 - 18:29
Имеем 20+ следующих правил
$IPTABLES -A INPUT -p tcp --dport 21 -s 192.168.0.0/16 -m connlimit --connlimit-above 4 -j REJECT
$IPTABLES -A INPUT -p TCP --syn --dport 21 -s 192.168.0.0/16 -j ACCEPT
$IPTABLES -A INPUT -p TCP --dport 21 -s 192.168.0.0/16 -m state --state ESTABLISHED,RELATED -j ACCEPT
// ну тоесть правила рахзличаются только сетками.
На сколько мне не изменяет память то этож каждый пакет проверяется под все правила?
Вот и думается както загнать эти правила отдельно и отправлять в таблицу по какомуто признаку.. по 21 порту?
Подскажите плиз что сделать необходимо.
»
- Для комментирования войдите или зарегистрируйтесь
Пакет
Пакет сравнивается со всеми правилами по порядку их следования до тех пор, пока не будет совпадения.
Все условия в цепочках носят уточняющий характер.Следовательно, если действия со всеми сетками одинаковые, то нужны только эти 3 правила без IP.
Рекомендую погуглить на тему iptables. Ресурсов в сети нынче хватает, в том числе на русском.
c 20ю сеткаами
c 20ю сеткаами одинаковые с остальными другие =)
проблему решил заруливаю пакеты с 21м портом в отдельную таблицу.
ВОт бы ещё нагуглить гденить сборник антифлуд/антибрут правил.
антифлуд/антибрут
насчет кронкретных правил хз, но можно использовать модуль limit