extensions/libxt_recent.man

   1 Allows you to dynamically create a list of IP addresses and then match against
   2 that list in a few different ways.
   3 .PP
   4 For example, you can create a "badguy" list out of people attempting to connect
   5 to port 139 on your firewall and then DROP all future packets from them without
   6 considering them.
   7 .PP
   8 \fB\-\-set\fP, \fB\-\-rcheck\fP, \fB\-\-update\fP and \fB\-\-remove\fP are
   9 mutually exclusive.
  10 .TP
  11 \fB\-\-name\fP \fIname\fP
  12 Specify the list to use for the commands. If no name is given then
  13 \fBDEFAULT\fP will be used.
  14 .TP
  15 [\fB!\fP] \fB\-\-set\fP
  16 This will add the source address of the packet to the list. If the source
  17 address is already in the list, this will update the existing entry. This will
  18 always return success (or failure if \fB!\fP is passed in).
  19 .TP
  20 \fB\-\-rsource\fP
  21 Match/save the source address of each packet in the recent list table. This
  22 is the default.
  23 .TP
  24 \fB\-\-rdest\fP
  25 Match/save the destination address of each packet in the recent list table.
  26 .TP
  27 [\fB!\fP] \fB\-\-rcheck\fP
  28 Check if the source address of the packet is currently in the list.
  29 .TP
  30 [\fB!\fP] \fB\-\-update\fP
  31 Like \fB\-\-rcheck\fP, except it will update the "last seen" timestamp if it
  32 matches.
  33 .TP
  34 [\fB!\fP] \fB\-\-remove\fP
  35 Check if the source address of the packet is currently in the list and if so
  36 that address will be removed from the list and the rule will return true. If
  37 the address is not found, false is returned.
  38 .TP
  39 \fB\-\-seconds\fP \fIseconds\fP
  40 This option must be used in conjunction with one of \fB\-\-rcheck\fP or
  41 \fB\-\-update\fP. When used, this will narrow the match to only happen when the
  42 address is in the list and was seen within the last given number of seconds.
  43 .TP
  44 \fB\-\-reap\fP
  45 This option can only be used in conjunction with \fB\-\-seconds\fP.
  46 When used, this will cause entries older than the last given number of seconds
  47 to be purged.
  48 .TP
  49 \fB\-\-hitcount\fP \fIhits\fP
  50 This option must be used in conjunction with one of \fB\-\-rcheck\fP or
  51 \fB\-\-update\fP. When used, this will narrow the match to only happen when the
  52 address is in the list and packets had been received greater than or equal to
  53 the given value. This option may be used along with \fB\-\-seconds\fP to create
  54 an even narrower match requiring a certain number of hits within a specific
  55 time frame. The maximum value for the hitcount parameter is given by the
  56 "ip_pkt_list_tot" parameter of the xt_recent kernel module. Exceeding this
  57 value on the command line will cause the rule to be rejected.
  58 .TP
  59 \fB\-\-rttl\fP
  60 This option may only be used in conjunction with one of \fB\-\-rcheck\fP or
  61 \fB\-\-update\fP. When used, this will narrow the match to only happen when the
  62 address is in the list and the TTL of the current packet matches that of the
  63 packet which hit the \fB\-\-set\fP rule. This may be useful if you have problems
  64 with people faking their source address in order to DoS you via this module by
  65 disallowing others access to your site by sending bogus packets to you.
  66 .PP
  67 Examples:
  68 .IP
  69 iptables \-A FORWARD \-m recent \-\-name badguy \-\-rcheck \-\-seconds 60 \-j DROP
  70 .IP
  71 iptables \-A FORWARD \-p tcp \-i eth0 \-\-dport 139 \-m recent \-\-name badguy \-\-set \-j DROP
  72 .PP
  73 Steve's ipt_recent website (http://snowman.net/projects/ipt_recent/) also has
  74 some examples of usage.
  75 .PP
  76 \fB/proc/net/xt_recent/*\fP are the current lists of addresses and information
  77 about each entry of each list.
  78 .PP
  79 Each file in \fB/proc/net/xt_recent/\fP can be read from to see the current
  80 list or written two using the following commands to modify the list:
  81 .TP
  82 \fBecho +\fP\fIaddr\fP\fB >/proc/net/xt_recent/DEFAULT\fP
  83 to add \fIaddr\fP to the DEFAULT list
  84 .TP
  85 \fBecho \-\fP\fIaddr\fP\fB >/proc/net/xt_recent/DEFAULT\fP
  86 to remove \fIaddr\fP from the DEFAULT list
  87 .TP
  88 \fBecho / >/proc/net/xt_recent/DEFAULT\fP
  89 to flush the DEFAULT list (remove all entries).
  90 .PP
  91 The module itself accepts parameters, defaults shown:
  92 .TP
  93 \fBip_list_tot\fP=\fI100\fP
  94 Number of addresses remembered per table.
  95 .TP
  96 \fBip_pkt_list_tot\fP=\fI20\fP
  97 Number of packets per address remembered.
  98 .TP
  99 \fBip_list_hash_size\fP=\fI0\fP
 100 Hash table size. 0 means to calculate it based on ip_list_tot, default: 512.
 101 .TP
 102 \fBip_list_perms\fP=\fI0644\fP
 103 Permissions for /proc/net/xt_recent/* files.
 104 .TP
 105 \fBip_list_uid\fP=\fI0\fP
 106 Numerical UID for ownership of /proc/net/xt_recent/* files.
 107 .TP
 108 \fBip_list_gid\fP=\fI0\fP
 109 Numerical GID for ownership of /proc/net/xt_recent/* files.