这个防火墙有什么不安全的地方?

SIR_SIR

单机
这样的IPTABLE规则可以防止,DDOS攻击么?

#! /bin/bash
IPTABLE=/sbin/iptables

$IPTABLE -F   #删除默认链
$IPTABLE -X   #删除自定义链

$IPTABLE -P INPUT  DROP

$IPTABLE -A  INPUT -m  state  --state  INVALID  -j  DROP

$IPTABLE -A  INPUT -i  lo  -j ACCEPT

$IPTABLE -A  INPUT -m  state  --state  ESTABLISHED,RELATED  -j  ACCEPT  #不能增加：-i  ppp0

#$IPTABLE -A  INPUT -i  lo  -m  state  --state  ESTABLISHED,RELATED  -j  ACCEPT  #以上两行改为这句也可以。

#防止SYN攻击 轻量级预防
$IPTABLE -N syn-flood
$IPTABLE -A INPUT -p tcp --syn -j syn-flood
$IPTABLE -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN
$IPTABLE -A syn-flood -j REJECT

#防止DOS太多连接进来,可以允许外网网卡每个IP最多15个初始连接,超过的丢弃
$IPTABLE -A INPUT -i eth0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
$IPTABLE -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

#抵御DDOS (参数与上相同)
iptables -A INPUT -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT
iptables -A INPUT -p tcp --syn -m limit --limit 1/s -j ACCEPT

SIR_SIR

这样可以防止SYN攻击么?
#防止SYN攻击 轻量级预防
$IPTABLE -N syn-flood
$IPTABLE -A INPUT -p tcp --syn -j syn-flood
$IPTABLE -A syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN
$IPTABLE -A syn-flood -j REJECT

parset

这样不好，有时候会把正常的连接屏蔽掉，最好是采用snort