Pour abonder dans le sens que le support d'iptables n'est pas suffisant pour ce genre d'usage, une petite anecdote.
Un jour avec les collègues on a eu à faire face à un joli ddos sur un serveur géré naïvement avec fail2ban. La liste de ban a tellement grandi que ce qui effondrait le serveur était le traitement des connexions par le firewall (le coût de traitement des règles iptables est au moins linéaire en la taille du nombre de règle). Nous avons configuré ipset en lieu et place de iptables au niveau de fail2ban, et une fois la modif faite le serveur a rapidement retrouvé son calme.
Bref. Pour ce genre d'usage, la transparence vis à vis du mode de blocage est très utile.
[^] # Re: Quid du support du protocole IP actuel ?
Posté par Pol' uX (site web personnel) . En réponse à la dépêche reaction, remplaçant de fail2ban. Évalué à 5.
Pour abonder dans le sens que le support d'iptables n'est pas suffisant pour ce genre d'usage, une petite anecdote.
Un jour avec les collègues on a eu à faire face à un joli ddos sur un serveur géré naïvement avec fail2ban. La liste de ban a tellement grandi que ce qui effondrait le serveur était le traitement des connexions par le firewall (le coût de traitement des règles iptables est au moins linéaire en la taille du nombre de règle). Nous avons configuré ipset en lieu et place de iptables au niveau de fail2ban, et une fois la modif faite le serveur a rapidement retrouvé son calme.
Bref. Pour ce genre d'usage, la transparence vis à vis du mode de blocage est très utile.
Adhérer à l'April, ça vous tente ?