Исходное сообщение
"Создание модуля для iptables, изменяющего ID пакета" Отправлено PavelR, 04-Май-11 10:19
>> Итак, ситуация - вебсервер, (д)дос. >> Прилетает запрос к веб-серверу. Хотим делать фильтрацию iptables-ом по содержимому запроса. >> Чтобы получить запрос, соединение должно быть установлено. >> В тот момент, когда срабатывает правило >> -A INPUT -p tcp --dport 80 -m string -string .... -j REJECT >> --reject-with tcp-reset > Ну и будет там запрос  "GET / HTTP/1.1" и чё дальше? > Как это спасёт от DoS/DDoS ? Допустим что там будет нечто специфичное и мы сможем выделить "нужные" :-) >>  tcp-reset отправляется только в сторону, откуда пришел запрос, в итоге имеем >> подвешенное соединение с нашей стороны. > -j REJECT --reject-with tcp-reset  сбрасывает соединение, а не вешает. :-) Ты уже посмотрел в код? Типовой use-case это посылка сброса на еще не установленном соединении (флаг определяет что полетит _не_ icmp пакет). В рассматриваемом случае использование несколько иное -  соединение будет уже установлено. И далее: >>  tcp-reset отправляется только в сторону, откуда пришел запрос, в итоге имеем >> подвешенное соединение с нашей стороны. так что соединение с нашей стороны "будет не проинформировано" и будет тихо мирно ждать таймаута. см ipt_REJECT.c / send_reset()

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:
	Введите код, изображенный на картинке: