FreeBSD: Limiting closed port RST response from 214 to 200 packets per second

Автор Охальников Олег

08:09:2010 г.

Столкнулся однажды с такой проблемой возникшей после переноса системы с одного винта на другой и с одного железа на другое. Все прошло успешно, но в консоли рута постоянно сыпались сообщения вида:

Консоль забита под завязку данными строчками, лог тоже....

В обычной ситуации возникновение данных сообщений говорит о том, что машину сканируют и идет ограничение 200 пакетов в сек. В моем же случае - это исключено, потому как сообщения идут даже при отключенных сетевых интерфейсах, видимо что-то не совсем корректно скопировалось при клонировании диска и флуд идет внутри системы на уровне железа, т.к. демоны тоже все останавливались .

Для отключения данных сообщений надо указать следующие переменные в sysctl.conf (в данном примере, просто выполнить команду):

echo 'net.inet.tcp.log_in_vain=0' >> /etc/sysctl.conf && echo 'net.inet.udp.log_in_vain=0' >> /etc/sysctl.conf && echo 'net.inet.tcp.blackhole=2' >> /etc/sysctl.conf && echo 'net.inet.udp.blackhole=1' \ >> /etc/sysctl.conf;

После выполнения в файл /etc/sysctl.conf добавятся следующие строки:

net.inet.tcp.log_in_vain=0 - не отражаем в логе попытки соединения к портам, для которых нет активных сервисов;
net.inet.udp.log_in_vain=0 - то-же, что и для первого, только для UDP;
net.inet.tcp.blackhole=2 - если 1, то SYN пакеты пришедшие на порты для которых нет активных сервисов, остаются без RST ответа, если 2, то на любые пакеты нет ответа (затрудняет сканирования портов);
net.inet.udp.blackhole=1 - данный пункт указывает, что происходит при получении UDP-пакета на закрытый порт (не слушаемый никакими приложениями). Если стоит "1", то SYN пакеты (пакет, устанавливающий соединение) на закрытый порт будут отклоняться без отсылки отправителю RST пакета (перезагрузка (соединения, не машины).

Перезапускаем sysctl:

/etc/rc.d/sysctl restart

Сообщения больше не беспокоят, система (тьфу-тьфу-тьфу) работает стабильно.

PS: Значения переменных sysctl, можно посмотреть:
[1] [2] [3]

Охальников Олег aka H@wk!