From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <mike@fly.osdn.org.ua>
Date: Wed, 10 Oct 2007 08:57:41 +0300
From: Michael Shigorin <mike@osdn.org.ua>
To: sysadmins@lists.altlinux.org
Message-ID: <20071010055741.GA22309@osdn.org.ua>
Mail-Followup-To: sysadmins@lists.altlinux.org
References: <867c9a170710090931k3d26393fh9e2a61f460917e37@mail.gmail.com>
	<20071009182739.GN22309@osdn.org.ua>
	<20071010095101.00b2bc09@batyrshin.ieml.ru>
Mime-Version: 1.0
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <20071010095101.00b2bc09@batyrshin.ieml.ru>
User-Agent: Mutt/1.4.2.1i
Subject: Re: [Sysadmins] Hosting server AltLinux Server 4.0.1 (openvz)
X-BeenThere: sysadmins@lists.altlinux.org
X-Mailman-Version: 2.1.9
Precedence: list
Reply-To: shigorin@gmail.com,
	ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
List-Id: ALT Linux sysadmin discuss <sysadmins.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/sysadmins>
List-Post: <mailto:sysadmins@lists.altlinux.org>
List-Help: <mailto:sysadmins-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/sysadmins>,
	<mailto:sysadmins-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Wed, 10 Oct 2007 05:57:41 -0000
Archived-At: <http://lore.altlinux.org/sysadmins/20071010055741.GA22309@osdn.org.ua/>
List-Archive: <http://lore.altlinux.org/sysadmins/>

On Wed, Oct 10, 2007 at 09:51:01AM +0400, Timur Batyrshin wrote:
> > > В процессе реализации вешеописанной схемы у меня возникли
> > > вопросы: 1. VM1 (nginx) прекрасно видит Vm2 и его клоны
> > > (172.16.1.100/24), но VM2 не видит интернет. Мне нужно
> > > поднимать NAT на ROOT?
> > Да. (для проброса портов при этом используется DNAT, а e.g.
> > DoS и невменяемых рубим не в INPUT, а в FORWARD)
> А есть какие-нибудь примеры порубки? Я составлял себе правила
> на основе примера из iptables-tutorial. Мне кажется, там общие
> проблемы решаются (new not syn и т.д.), а решение более
> конкретных типа того же DoS где бы посмотреть?

Смотря какой DoS... где руками, где 

-A http-flood -p tcp -m tcp -m limit --limit 1/s --limit-burst 2 -j ACCEPT
-A icmp-flood -p icmp -m icmp --icmp-type 8 -m limit --limit 5/s --limit-burst 25 -j ACCEPT
-A syn-flood -m limit --limit 10/sec --limit-burst 50 -j RETURN

до более автоматизированного/умного не добирался.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       Oct 26--27, Kiev, Ukraine:
--       http://conference.osdn.org.ua