Einen DoS oder sogar direkt einen DDoS abzuwehren ist schwierig, aber man kann sich wenigstens ein wenig schützen vor dem Angreifer. Du hast also einen vServer, Dedicated oder Rootserver? Dann bist du hier genau richtig. Mit den hier aufgelisteten Regeln bist du zumindest auf der Sicheren Seite das die gängigsten Methoden von den IPTables / NFTables Regeln abgewehrt werden.
Mit den IPTables lassen sich gut Netzwerkpakete Analysieren und verwalten und somit auch blocken. Gleichzeitig sind diese performant und kommen bei so gut wie jedem Unix System zum Einsatz, also bietet es sich total an diese auch dafür einzusetzen.
![Zyxel Multi-Gig WiFi 6 AX3000 PoE Access Point für kleine Unternehmen, 2,5G PoE-Uplink, mit 3x3 + 2x2 MU-MIMO-Antenne, verwaltbar über Nebula APP/Cloud oder Standalone [NWA50AX Pro]](https://m.media-amazon.com/images/I/314A07P+iRL._SL160_.jpg)
Kurz und schnell DoS erklärt
Eine Denial-of-Service (DoS)-Attacke ist eine Cyberangriffstechnik, bei der ein Angreifer versucht, ein Computersystem, Netzwerk oder eine Online-Dienstleistung unzugänglich zu machen, indem er es überlastet oder zum Absturz bringt. Dies geschieht, indem der Angreifer eine große Menge an Datenverkehr, Anfragen oder Ressourcen auf das Ziel lenkt, was dazu führen kann, dass das System nicht mehr ordnungsgemäß funktioniert oder gar nicht mehr erreichbar ist. DoS-Attacken können verschiedene Formen annehmen, darunter Netzwerküberlastungen, Angriffe auf Software-Schwachstellen oder Ressourcenerschöpfung. Das Hauptziel einer DoS-Attacke besteht darin, legitimen Benutzern den Zugriff auf die betroffenen Ressourcen zu verweigern und den normalen Betrieb zu stören.
IPTables DDoS Regeln
Hiermit werden alle Invaliden Pakete verworfen und sogar direkt bevor die weiter vom System bearbeitet werden.
iptables -t mangle -A PREROUTING --ctstate INVALID -m conntrack -j DROPDiese Regel verwirft alle Pakete welche nicht „Syn“ sind im TCP Stack.
iptables -t mangle -A PREROUTING -m conntrack -p tcp ! --syn --ctstate NEW -j DROPDie nächste iptables-Regel blockiert neue Pakete (nur SYN-Pakete können gemäß den beiden vorherigen Regeln neue Pakete sein), die einen nicht üblichen TCP-MSS-Wert verwenden. Dies hilft, dumme SYN-Floods zu blockieren.
iptables -t mangle -A PREROUTING -p tcp -m conntrack --ctstate NEW -m tcpmss ! --mss 536:65535 -j DROPDie nächste Regelsatz blockiert Pakete, die gefälschte TCP-Flags verwenden, d. h. TCP-Flags, die legitime Pakete nicht verwenden würden.
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,SYN FIN,SYN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags FIN,ACK FIN -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,URG URG -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ACK,PSH PSH -j DROP
iptables -t mangle -A PREROUTING -p tcp --tcp-flags ALL NONE -j DROPFragmentierte Pakete blockieren.
iptables -t mangle -A PREROUTING -f -j DROPLimitieren Sie die Anzahl der gleichzeitigen Verbindungen pro IP-Adresse.
iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 80 -j DROPUDP Flood verhindern.
iptables -A INPUT -p udp -m limit --limit 150/s -j ACCEPT
iptables -A INPUT -p udp -j DROPUm DNS-Imitationsangriffe (DNS Spoofing) zu verhindern, können Sie bestimmte IPTables-Regeln erstellen, um den DNS-Verkehr zu schützen.
iptables -A INPUT -p udp --sport 53 -m conntrack --ctstate ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j DROP
Schreibe einen Kommentar