iptable 问题

hksunny

我想限制TCP每 10秒 30发 和 1分钟 480发 和 5分钟 10000发\r\n\r\n请问用 iptable 应该如何写呢 ?\r\n\r\n我试过这样, 但好像不行, 我伺服器只有WEB服务, 我这样做的目的\r\n\r\n10秒 30发 <- 因为我没有用 keep-alive, 这样设定比较合理\r\n1分钟 480发 <- 超过就一定是 DoS，上面的 10秒 30发 怎可能 1分钟有 480发, 已经不回应还在发, 必定是攻击或病毒\r\n5分钟 10000发 <- 不用说吧, 防白痴病毒\r\n\r\n-A INPUT -p tcp -m state --state NEW -j synfoold\r\n-A INPUT -p tcp -m state --state NEW -j bigsynfoold\r\n-A INPUT -p tcp -m state --state NEW -j largesynfoold\r\n\r\n-A synfoold -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 10/sec --limit-burst 30 -j RETURN\r\n-A synfoold -p tcp -j REJECT --reject-with tcp-reset \r\n\r\n-A bigsynfoold -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 1/m --limit-burst 480 -j RETURN\r\n-A bigsynfoold -p tcp -j REJECT --reject-with tcp-reset \r\n\r\n-A largesynfoold -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m limit --limit 5/m --limit-burst 10000 -j RETURN\r\n-A largesynfoold -p tcp -j REJECT --reject-with tcp-reset

depthblue_xsc

逻辑错了，tcp的new包进入了第一条，还有机会bigsynfoold吗？