Как заблокировать все IP на час, которые делают запросы с порта 80?

Question

[Jebati]

Атакуют меня каким-то http флудом, при этом http сервера у меня нет... По tcpdump вижу, что все запросы идут с разных IP, но всегда с порта 80. Как забанить все такие IP на час например?
Ещё можно ли как-то это сделать, по фрагменту пакета?

Comments

[Alexey Dmitriev]

уверены что они вас атакуют, а не вы их? какой state у пакетов?
Я не верю в атаки с 80 порта-вероятнее всего это ответные пакеты на запросы с вашего сервера.
Покажите как они выглядят в tcpdump или iptables -j LOG

[Сослан Хлоев]

Модули limit, string и u32 для iptables могут помочь.
https://ipset.netfilter.org/iptables-extensions.ma...

[dollar]

Покажите скрины, логи...
А то слабо верится.

Answer 1

[paran0id]

Можно дропать все входящие с source port 80 на фаерволле.

Comments

[ky0]

Почему source-то?

[paran0id]

ky0,

По tcpdump вижу, что все запросы идут с разных IP, но всегда с порта 80.

[ky0]

paran0id, ну, это странно - учитывая, что он потом пишет, что "http сервера у меня нет". Ошибся, может...

[paran0id]

ky0, если так, то это тупо боты долбятся в поисках дырявого вордпресса. Не интересно.