8.8. nftables를 사용하여 연결 수 제한

프로세스

1. inet 주소 제품군을 사용하여 filter 테이블을 생성합니다.

   # nft add table inet filter

2. inet 필터 테이블에 입력 체인을 추가합니다.

   # nft add chain inet filter input { type filter hook input priority 0 \; }

3. IPv4 주소에 대한 동적 세트를 생성합니다.

   # nft add set inet filter limit-ssh { type ipv4_addr\; flags dynamic \;}

4. IPv4 주소에서 SSH 포트(22)에 동시에 들어오는 연결만 허용하는 입력 체인에 규칙을 추가하고 동일한 IP에서 추가 연결을 모두 거부합니다.

   # nft add rule inet filter input tcp dport ssh ct state new add @limit-ssh { ip saddr ct count over 2 } counter reject

검증

1. 동일한 IP 주소에서 호스트로의 두 개 이상의 새 동시 SSH 연결을 설정합니다. 두 연결이 이미 설정된 경우 nftables는 SSH 포트에 대한 연결을 거부합니다.

2. limit-ssh 동적 세트를 표시합니다.

   # nft list set inet filter limit-ssh
   table inet filter {
     set limit-ssh {
       type ipv4_addr
       size 65535
       flags dynamic
       elements = { 192.0.2.1 ct count over 2 , 192.0.2.2 ct count over 2 }
     }
   }

   elements 항목에는 현재 규칙과 일치하는 주소가 표시됩니다. 이 예제에서 요소는 SSH 포트에 대한 활성 연결이 있는 IP 주소를 나열합니다. 출력은 활성 연결 수를 표시하지 않거나 연결이 거부된 경우입니다.

프로세스

1. IP 주소 제품군을 사용하여 필터 테이블을 생성합니다.

   # nft add table ip filter

2. 필터 테이블에 입력 체인을 추가합니다.

   # nft add chain ip filter input { type filter hook input priority 0 \; }

3. 1분 이내에 10개 이상의 TCP 연결을 설정하려는 소스 주소에서 모든 패킷을 삭제하는 규칙을 추가합니다.

   # nft add rule ip filter input ip protocol tcp ct state new, untracked meter ratemeter { ip saddr timeout 5m limit rate over 10/minute } drop

   timeout 5m 매개변수는 계측이 오래된 항목으로 채워지지 않도록 nftables 가 5분 후에 자동으로 항목을 제거하도록 정의합니다.