问一个pf的问题，掉包严重，但是时延小

ioiioi

我用一对x86+openbsd做防火墙，为内网的一些服务器提供服务。
拓扑如下：
                                                 +----> 192.168.33.1
                                                 |
外网用户 <-------> OpenBSD <---+---->192.168.33.2
                                                 |
                                                 +----> 192.168.33.3

现象：
外网用户ping OpenBSD的外网IP，丢包率为12%，时延仅为3-4ms

OpenBSD

1. 
   
2. # pfctl -s info
   
3. root@openbsd-1~: # pfctl -s info
   
4. Status: Enabled for 165 days 02:37:47            Debug: err
   
5. 
   
6. State Table                          Total             Rate
   
7.   current entries                    10000               
   
8.   searches                      6906395705          484.1/s
   
9.   inserts                        139227366            9.8/s
   
10.   removals                       139217366            9.8/s
    
11. Counters
    
12.   match                          166073183           11.6/s
    
13.   bad-offset                             0            0.0/s
    
14.   fragment                          717339            0.1/s
    
15.   short                            1335657            0.1/s
    
16.   normalize                            168            0.0/s
    
17.   memory                          23191710            1.6/s
    
18.   bad-timestamp                          0            0.0/s
    
19.   congestion                          3727            0.0/s
    
20.   ip-option                         276306            0.0/s
    
21.   proto-cksum                            0            0.0/s
    
22.   state-mismatch                     11402            0.0/s
    
23.   state-insert                         214            0.0/s
    
24.   state-limit                            0            0.0/s
    
25.   src-limit                              0            0.0/s
    
26.   synproxy                               0            0.0/s
    
27. 
    
28. # systat state
    
29. 2 users    Load 1.34 1.38 1.43  (61-90 of 6965)     Sun Feb 26 19:20:08 2012
    
30. ...
    
31. udp   In  192.168.33.1:5071     95.223.18.47:5060      0:1   00:00:46     0      4   1447      0    72    31 69
    
32. udp   Out 221.182.xxx.xxx:5071  95.223.18.47:5060      1:0   00:00:46     0      4   1447      0    72    31  1 192.168.33.1:5071
    
33. udp   Out 221.182.xxx.xxx:5074  138.246.247.123:5060   1:0   00:00:39     0      1    434      0     0    11  1 192.168.33.1:5074
    
34. udp   In  192.168.33.1:5074     138.246.247.124:5060   0:1   00:00:39     0      1    436      0     0    11 69
    
35. udp   Out 221.182.xxx.xxx:5074  138.246.247.124:5060   1:0   00:00:39     0      1    436      0     0    11  1 192.168.33.1:5074
    
36. 从1-70都是正常的流量，但是71开始到6965都是以上的链接。
    

复制代码

说明一下，192.168.33.1是内网服务器，221.182.xx.xx是openbsd的外网IP，所以应该是192.168.33.1向95.223.18.47发起连接，在openbsd处进行nat转换。
我估计192.168.33.1有一个爬虫程序在扫描外网。

请问:
1、有什么手段可以限制192.168.33.1访问外网的连接数？
2、限制后，192.168.33.1除了感觉到爬虫速度变慢后，还有什么不良的影响？

ioiioi

1. 
   
2. # tcpdump -nvi fxp1 icmp
   
3. ...
   
4. 19:56:02.790834 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65492, len 383)
   
5. 19:56:02.794588 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65493, len 384)
   
6. 19:56:02.799592 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65494, len 384)
   
7. 19:56:02.804584 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65495, len 384)
   
8. 19:56:02.810684 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65496, len 383)
   
9. 19:56:02.814734 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65497, len 384)
   
10. 19:56:02.819554 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65498, len 384)
    
11. 19:56:02.825535 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65499, len 383)
    
12. 19:56:02.829667 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65500, len 384)
    
13. 19:56:02.836571 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65501, len 383)
    
14. 19:56:02.841590 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65502, len 384)
    
15. 19:56:02.847645 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65503, len 384)
    
16. 19:56:02.852710 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65504, len 382)
    
17. 19:56:02.857773 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65505, len 382)
    
18. 19:56:02.862887 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65506, len 384)
    
19. 19:56:02.868088 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65507, len 384)
    
20. 19:56:02.872816 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65508, len 384)
    
21. 19:56:02.878602 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65509, len 383)
    
22. 19:56:02.882952 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65510, len 384)
    
23. 19:56:02.887846 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65511, len 384)
    
24. 19:56:02.892771 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65512, len 382)
    
25. 19:56:02.897926 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65513, len 382)
    
26. 19:56:02.903709 88.84.131.14 > 221.182.xxx.xxx: icmp: 88.84.131.14 udp port 5060 unreachable [tos 0xc0] (ttl 42, id 65514, len 383)
    
27. ^C
    

复制代码

协议是icmp，为什么还有udp port 5060，遭到icmp flood攻击了？

我搜索了一下88.84.131.14，是来自德国的一个IP

lsstarboy

应该是遇到攻击了，那个地址也不一定是真的。

ioiioi

那我应该如何用pf来防御？

lsstarboy

不懂pf，但是ipfw 有个icmp的选项。