Как заблокировать Reassembled TCP data?

Question

[Игорь Петров]

Доброго времени суток!
Имеется дамп, при открытии его через Wireshark, там есть поле Reassembled TCP Data
Можно ли как то заблокировать данный заголовок при помощи iptables, либо посредствами nginx?

Answer 1

[Пума Тайланд]

В нгинксе точно нет в фаервол посмотрите расширенном икстаблесе, если дата одинаковая точно можно

Comments

[Игорь Петров]

дата везде одинаковая, вот как именно по этому критерию забанить, возникла сложность, весь гугл перекопал, ничего толкового не нашёл, может есть примеры как именно написать правило для iptables?

[Пума Тайланд]

Игорь Петров: ну вы посмотрите примеры то работы с пакетами, через смещение и сравнение в пакете можно забанить пакет

[Игорь Петров]

кроме этого ничего не нашёл:
iptables -t raw -A PREROUTING -p tcp -d 127.0.0.1 -m length --length 62:300 -m string --hex-string "|0800d64f6928ba10ad6e6356462cc4906ac7ad9add3ac2f0|" --algo kmp -j DROP

Но такой вариант не работает

[Пума Тайланд]

Игорь Петров: так вы ловите пакет на локалхост

[Игорь Петров]

Это просто пример, дамп у меня есть с конкретного dst IP.

[Пума Тайланд]

Игорь Петров: ну так посмотрите что у вас в примере по этому адресу лежит

Answer 2

[Rsa97]

А с чего вы взяли, что это какой-то заголовок?
Это просто WireShark сообщает, что данный TCP-пакет, содержащий 437 байт данных был разбит при передаче на два фрейма, #87, длиной 62 байта, и #110, длиной 375 байт. Wireshark при анализе собрал эти фреймы обратно в один пакет, который и показывает.

Comments

[Игорь Петров]

т.е. по сути такое не блокируется посредствами iptables?
Я сравнивал свой запрос по определённой ссылке, и запрос "Левый", от которого страдает сервер, возможно это брут одного клиента. Так как много обращений к авторизации в CMS.
Мой запрос и запрос от брута отличаются именно этой датой.

[Rsa97]

Игорь Петров: Не блокируется. Такое разбиение может возникать при смене носителя, например Ethernet Jumbe Frame (64 килобайта) -> ADSL (1486 байт)

[Игорь Петров]

Я понял, спасибо, будем искать другой метод блокировки брута.

[Rsa97]

Игорь Петров: Посмотрите в сторону fail2ban

[Игорь Петров]

Rsa97: Не поможет, ботов ровно насчитал 5503, каждый из них делает запрос раз в 3 минуты, это может повлиять на легитимных клиентов.