6.8.2. Bloqueo de direcciones IP que intentan más de diez nuevas conexiones TCP entrantes en un minuto

Procedimiento

1. Crear la tabla filter con la familia de direcciones ip:

   # nft add table ip filter

   Copy to Clipboard Toggle word wrap

2. Añade la cadena input a la tabla filter:

   # nft add chain ip filter input { type filter hook input priority 0 \; }

   Copy to Clipboard Toggle word wrap

3. Añade un conjunto llamado denylist a la tabla filter:

   # nft add set ip filter denylist { type ipv4_addr \️; flags dynamic, timeout \️; timeout 5m \️; }

   Copy to Clipboard Toggle word wrap

   Este comando crea un conjunto dinámico de direcciones IPv4. El parámetro timeout 5m define que nftables elimine automáticamente las entradas después de 5 minutos del conjunto.

4. Añada una regla que añada automáticamente la dirección IP de origen de los hosts que intenten establecer más de diez nuevas conexiones TCP en un minuto al conjunto denylist:

   # nft add rule ip filter input ip protocol tcp ct state new, untracked limit rate over 10/minute add @denylist { ip saddr }

   Copy to Clipboard Toggle word wrap

5. Añada una regla que elimine todas las conexiones de las direcciones IP del conjunto denylist:

   # nft add rule ip filter input ip saddr @denylist drop

   Copy to Clipboard Toggle word wrap