8.8. nftables を使用した接続の量の制限

手順

1. inet アドレスファミリーを使用して filter テーブルを作成します。

   # nft add table inet filter

2. input チェーンを inet filter テーブルに追加します。

   # nft add chain inet filter input { type filter hook input priority 0 \; }

3. IPv4 アドレスの動的セットを作成します。

   # nft add set inet filter limit-ssh { type ipv4_addr\; flags dynamic \;}

4. IPv4 アドレスからの SSH ポート (22) への同時着信接続を 2 つだけ許可し、同じ IP からのそれ以降の接続をすべて拒否するルールを、input チェーンに追加します。

   # nft add rule inet filter input tcp dport ssh ct state new add @limit-ssh { ip saddr ct count over 2 } counter reject

検証

1. 同じ IP アドレスからホストへの新しい同時 SSH 接続を 2 つ以上確立します。すでに 2 つの接続が確立されている場合、Nftables が SSH ポートへの接続を拒否します。

2. limit-ssh 動的セットを表示します。

   # nft list set inet filter limit-ssh
   table inet filter {
     set limit-ssh {
       type ipv4_addr
       size 65535
       flags dynamic
       elements = { 192.0.2.1 ct count over 2 , 192.0.2.2 ct count over 2 }
     }
   }

   elements エントリーは、現時点でルールに一致するアドレスを表示します。この例では、elements は、SSH ポートへのアクティブな接続がある IP アドレスを一覧表示します。出力には、アクティブな接続の数を表示しないため、接続が拒否された場合は表示されないことに注意してください。

手順

1. ip アドレスファミリーを使用して filter テーブルを作成します。

   # nft add table ip filter

2. input チェーンを filter テーブルに追加します。

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. 1 分以内に 10 を超える TCP 接続を確立しようとするソースアドレスからのすべてのパケットを破棄するルールを追加します。

   # nft add rule ip filter input ip protocol tcp ct state new, untracked meter ratemeter { ip saddr timeout 5m limit rate over 10/minute } drop

   timeout 5m パラメーターは、nftables が、メーターが古いエントリーで一杯にならないように、5 分後にエントリーを自動的に削除することを定義します。