TCP-SYN Flood対策機能がIPv6を使って簡単に回避できる

nexryai / lance-light

Yet another human-friendly firewall

https://lance.sda1.net/

MIT License

12 stars 0 forks source link

Closed nexryai closed 2 months ago

nexryai commented 9 months ago

IPv6は一般環境でもランダムアドレスを量産できるためSYN Flood緩和機能が機能しない

nexryai commented 9 months ago

上位のビットを見て判断するべきなんだろうけどどこまで見るべきかが謎だしそもそも国地域ISPによって違う気がする

nexryai commented 9 months ago

nexryai commented 9 months ago

nexryai commented 9 months ago

nexryai commented 9 months ago

仮に/64でとりあえず制限するとしてもnftablesのルールでそれをやる方法があるのか謎

nexryai commented 9 months ago

そもそもnftablesに範囲を見てレートリミットする方法がなさそうなのでこれをやるには根本的な構造の変更が必要（lance側でデーモンを立ち上げてリアルタイムでログを監視してレートリミットするみたいなことをしないといけない）ので保留にするか