UFW 的速率限制：设置限制

Question

UFW 的手册页提到它可以为我设置 iptables 速率限制：

ufw 支持连接速率限制，这对于防止暴力登录攻击很有用。如果 IP 地址在过去 30 秒内尝试启动 6 个或更多连接，则 ufw 将拒绝连接。有关 详细信息，请参阅 http://www.debian-administration.org/articles/187。典型用法是：

     ufw limit ssh/tcp

不幸的是，这是我能找到的所有文档。我想坚持使用 UFW，而不是使用更复杂的 iptables 命令（以保持“简单”）。

我将如何使用 ufw 将端口 80 上的所有传入（因此不是传出）流量限制为每 30 秒 20 个连接？如何禁用端口 30000 到 30005 的速率限制？是否默认为所有端口启用速率限制？

Answer 1

UFW 被设计为“简单”，在这种情况下，这意味着您无法控制连接受限的速率的细节。如果您想深入了解 UFW 的 Python 源代码，您可以了解如何调整它。适当的信息是（在我的 Ubuntu 10.04 系统上）在/usr/share/pyshared/ufw/backend_iptables.py

因此，将时间问题放在一边，这里是最后对您的快速问题的一些答案。

1. 假设 10.10.10.0/24 是您的本地网络，这将默认限制规则应用于端口 80/tcp 传入：

   ufw limit from any to 10.10.10.0/24 port http comment 'limit web'
   

2. 3. 限速默认不开启。要将其添加到除所需范围之外的每个（目标）端口，请使用此规则。请注意，规则（即使有范围）是原子单位，不能拆分。例如，您不能为任何端口添加规则，然后delete为特定范围添加（不存在的）规则以将其删除。limit也不是 可接受的论据ufw default。

   ufw limit from any to any port 0:29999,30006:65535
   

Answer 2

如上一篇文章所述，您可以自定义 user.rules。我需要在 6 秒内将 smtp 连接速率限制为最多 12 个连接。我首先添加了如下所示的规则。注意：这添加了一个限制规则，默认情况下允许 6 in 30 sec

ufw limit smtp

我编辑了 /lib/ufw/user.rules（我保留了这个文件的自定义副本，并进行了许多其他调整），如下所示......

### tuple ### limit tcp 25 0.0.0.0/0 any 0.0.0.0/0 in
-A ufw-user-input -p tcp --dport 25 -m state --state NEW -m recent --set
-A ufw-user-input -p tcp --dport 25 -m state --state NEW -m recent --update --seconds 6 --hitcount 12 -j ufw-user-limit
-A ufw-user-input -p tcp --dport 25 -j ufw-user-limit-accept

Answer 3

可以在可以找到的 UFW 规则文件上更改速率限制/lib/ufw/user.rules。

默认情况下，所有端口都没有启用限制。您应该手动或通过编辑user.rules文件添加每个端口。