Limitation du nombre de connexion TCP simultanées par IP

Après plusieurs mois d’expérimentation avec différentes valeurs et en analysant les logs pour voir si j'ai bloqué du trafic légitime, je pense avoir trouvé la bonne valeur pour limiter les connexions abusives d'une même IP sur les serveurs que je gère.

Depuis ce matin, c'est voici les paramètres que j'ai mis en place :
- Serveurs de test de débit : Limitation à 50 connexions TCP ouvertes simultanément pour une même IPv4 ou un même bloc /64 en IPv6
- Serveurs web comme ce forum : Limitation à 100 connexions TCP ouvertes simultanément pour une même IPv4 ou un même bloc /64 en IPv6
- Serveur de mise à jour pour Ubuntu : Limitation à 600 connexions TCP ouvertes simultanément pour une même IPv4 ou un même bloc /64 en IPv6

Concrètement, j'ai pris en compte que des bugs peuvent engendrer des connexion inutiles lors du surf, cf Firerox (sous Ubuntu) ouvre des connexion TCP puis fait un reset. 100 connexion était insuffisant pour un serveur web.
Pour le serveur de mise à jour Ubuntu (utilisé par prés d'un million d'Ubuntu ou dérivé en France), on a des cas ou de nombreuses machines virtuelles toutes derrière la même IPv4 ou le même /64 vont faire des mises à jour. Les mises à jour sont normalement échelonnées dans le temps, mais j'ai préféré jouer la sécurité, quand les mises à jour sont de grande taille cela peut prendre du temps et j'ai préféré voir large.

Ce que j'ai mis en place, c'est un fichier iptables-rules.sh : (exemple ci-dessous pour une limitation à 100 connexions TCP par IPv4)

sudo nano /root/iptables-rules.sh
#!/bin/dash
# Limiter le nombre de sessions tcp par client (un client = une IPv4 ou un /64 en IPv6)
/sbin/iptables  -A INPUT -p tcp --syn -m connlimit --connlimit-above 100 -m limit --limit 30/hour --limit-burst 1 -j LOG --log-prefix="drop-c-"
/sbin/iptables  -A INPUT -p tcp --syn -m connlimit --connlimit-above 100 -j REJECT
/sbin/ip6tables -A INPUT -p tcp --syn -m connlimit --connlimit-above 100 --connlimit-mask 64 -m limit --limit 30/hour --limit-burst 1 -j LOG --log-prefix="drop-c-"
/sbin/ip6tables -A INPUT -p tcp --syn -m connlimit --connlimit-above 100 --connlimit-mask 64 -j REJECT
sudo chmod +x /root/iptables-rules.sh
sudo echo "# Application de la QoS au reboot" > /etc/cron.d/iptables-rules
sudo echo "@reboot         root    /root/iptables-rules.sh" >> /etc/cron.d/iptables-rules

---

Vérification après reboot : IPv4

iptables -L
# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
LOG        tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN #conn src/32 > 100 limit: avg 30/hour burst 1 LOG level warning prefix "drop-c-"
REJECT     tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN #conn src/32 > 100 reject-with icmp-port-unreachable
DROP       udp  --  anywhere             anywhere             udp dpts:5200:5209

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
IPv6 :
ip6tables -L
# ip6tables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
LOG        tcp      anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN #conn src/64 > 100 limit: avg 30/hour burst 1 LOG level warning prefix "drop-c-"
REJECT     tcp      anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN #conn src/64 > 100 reject-with icmp6-port-unreachable
DROP       udp      anywhere             anywhere             udp dpts:5200:5209

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
A noter que dans vos scripts, il faut bien préciser /sbin/iptables et pas uniquement iptables.
Le premier fonctionne systématiquement, le second ne fonctionnera quand dans un shell interactif, donc pas au reboot du serveur.
Si vous ne voyez pas la règles avec iptables -L, cela peut être la raison...

Petite question pour iptables pour bloquer le nombre de sessions tcp par client :

Il est préférable de faire un simple -j REJECT

Ou un -j REJECT --reject-with tcp-reset plus propre ?

Ou faire un -j DROP comme quand je bloque des plages IP ?

Je vois aussi que les limites sont assez basses dans mon tutoriel.

Aujourd'hui, sur le forum c'est
# Limiter le nombre de sessions tcp par client (un client = une IPv4 ou un /64 en IPv6)
/usr/sbin/iptables  -A INPUT -p tcp --syn -m connlimit --connlimit-above 200 -m limit --limit 30/hour --limit-burst 1 -j LOG --log-prefix="drop-c-"
/usr/sbin/iptables  -A INPUT -p tcp --syn -m connlimit --connlimit-above 200 -j REJECT
/usr/sbin/ip6tables -A INPUT -p tcp --syn -m connlimit --connlimit-above 200 --connlimit-mask 64 -m limit --limit 30/hour --limit-burst 1 -j LOG --log-prefix="drop-c-"
/usr/sbin/ip6tables -A INPUT -p tcp --syn -m connlimit --connlimit-above 200 --connlimit-mask 64 -j REJECT

Sur https://fr.archive.ubuntu.com/ j'ai mis 1000 et je vois des CG-Nat des opérateurs mobile dans mes log de rejets.
/usr/sbin/iptables  -A INPUT -p tcp --syn -m connlimit --connlimit-above 1000 -m limit --limit 30/hour --limit-burst 1 -j LOG --log-prefix="drop-c-"
/usr/sbin/iptables  -A INPUT -p tcp --syn -m connlimit --connlimit-above 1000 -j REJECT
/usr/sbin/ip6tables -A INPUT -p tcp --syn -m connlimit --connlimit-above 1000 --connlimit-mask 64 -m limit --limit 30/hour --limit-burst 1 -j LOG --log-prefix="drop-c-"
/usr/sbin/ip6tables -A INPUT -p tcp --syn -m connlimit --connlimit-above 1000 --connlimit-mask 64 -j REJECT

Par contre dans les process Apache, je ne vois rien d'énorme, malgré le --connlimit-above 1000 qui est réguliérement dépassé.