ISPmanager, пропала страница-заглушка об отключении юзера - валиться просто forbidden. А у нас есть красивая страничка-заглушка, объясняющая что нам надо денежку платить.
Фиксим:


Include /usr/local/ispmgr/etc/ispmgr.inc

<Directory /var/www/mgrtest/data/www/mgrtest.isp>
Options -ExecCGI -Includes
php_admin_value open_basedir "/var/www/mgrtest/data:."
php_admin_flag engine on
</Directory>

iptables -s

Случайно узнал о дичайше полезном ключике iptables -S
Выводит правило в том виде, в котором мы его вносим в фаерволл.
Наконец смогу нормально удалять правила.

Режем высокий PPS в Linux

-A FORWARD -o eth0 -s 31.130.207.18 -m limit --limit 1000/sec -j ACCEPT
-A FORWARD -o eth0 -s 31.130.207.18 -j DROP

До 1000 пакетов в секунду пропускаем, дальше дропаем. 

Защищаем DNS от мини-ddos

Недавно стали DDoS-ить DNS сервер. Некий школьнику своего домена alexcoolshow.ru указал наши DNS, соответственно пришли боты и стали дёргать сервера.
Немного сложности добавляло то, что один запрос вида alexcoolshow, другой AlExCoOlShOw, третий еще как-нибудь играется с регистрами букв.
По умолчанию модуль strings в iptables не умеет работать с регистром, но есть ключик --icase.

Пример правил:

iptables -A INPUT -p tcp -m multiport --dport 53,993 -m string --string 'alexcool' --algo bm --icase -j DROP

iptables -A INPUT -p udp -m multiport --dport 53,993 -m string --string 'alexcool' --algo bm --icase -j DROP

Запрещаем все запросы к DNS (порты 53 и 993), имеющие запрос вида alexcool, независимо от регистра букв. Нагрузка на процессоры  незаметна, в отличие от постоянного дерганья nameserver.