2.9. Utilisation de nftables pour limiter le nombre de connexions

Procédure

1. Créer un ensemble dynamique d'adresses IPv4 :

   # nft add set inet example_table example_meter { type ipv4_addr\; flags dynamic \;}

2. Ajoutez une règle qui n'autorise que deux connexions simultanées au port SSH (22) à partir d'une adresse IPv4 et qui rejette toutes les autres connexions à partir de la même IP :

   # nft add rule ip example_table example_chain tcp dport ssh meter example_meter { ip saddr ct count over 2 } counter reject

3. Facultatif : Affichez le jeu créé à l'étape précédente :

   # nft list set inet example_table example_meter
   table inet example_table {
     meter example_meter {
       type ipv4_addr
       size 65535
       elements = { 192.0.2.1 ct count over 2 , 192.0.2.2 ct count over 2  }
     }
   }

   L'entrée elements affiche les adresses qui correspondent actuellement à la règle. Dans cet exemple, elements répertorie les adresses IP qui ont des connexions actives au port SSH. Notez que la sortie n'affiche pas le nombre de connexions actives ou si les connexions ont été rejetées.

Procédure

1. Créez la table filter avec la famille d'adresses ip:

   # nft add table ip filter

2. Ajoutez la chaîne input au tableau filter:

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. Ajoutez un ensemble nommé denylist à la table filter:

   # nft add set ip filter denylist { type ipv4_addr \; flags dynamic, timeout \; timeout 5m \; }

   Cette commande crée un ensemble dynamique d'adresses IPv4. Le paramètre timeout 5m définit que nftables supprime automatiquement les entrées après cinq minutes afin d'éviter que l'ensemble ne se remplisse d'entrées périmées.

4. Ajoutez une règle qui ajoute automatiquement à l'ensemble denylist l'adresse IP source des hôtes qui tentent d'établir plus de dix nouvelles connexions TCP en l'espace d'une minute :

   # nft add rule ip filter input ip protocol tcp ct state new, untracked add @denylist { ip saddr limit rate over 10/minute } drop