Dica em IPtable

Preciso resover uma questão com urgência, tem Conectiva7 rodando com Iptable, esse servidor tem a seguinte configuração:

eth0 rede interna 191.161.10.1
eth1 internet 200.200.200.1

esta eth1 recebe requisições da internet na porta 3050 e direciona para outro servidor com ip 191.161.10.100 para isso se usa os seguintes comandos:

# Permite o Acesso ao servidor de Banco de Dados FireBird
iptables -A FORWARD -p tcp -i eth1 --dport 3050 -d 191.161.10.100 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.100 --sport 3050 -d 0.0.0.0/0 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 3050 -j DNAT --to 191.161.10.100


Agora vem a questão, tenho mais um servidor 191.161.10.253 que tem outro banco de dados, no firewall coloquei outra ethernet que ficou com eth2 200.200.200.20 preciso direcionar as requisições que chegam nessa placa para este outro servidor (191.161.10.253), a dúvida é, posso duplicar as regras acima mudando paenas os endereços? Tem algum problema por a porta ser a mesma 3050 ?

Agradeço a ajuda desde já. (urgente)
_________________
Marcelo C. Leite
Consultor de TI
Atos Network

se vc alterar o endereco nas regras num tem problema nenhum....

Então, eu alterei e não funcionou, existe alguma configuração a mais que eu tenha que fazer, a questão de ter outra ethernet, o iptable reconhece ela sozinho?

Agora vem a questão, tenho mais um servidor 191.161.10.253 que tem outro banco de dados, no firewall coloquei outra ethernet que ficou com eth2 200.200.200.20


ptables -A FORWARD -p tcp -i eth2 --dport 3050 -d 191.161.10.253 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.253 --sport 3050 -d 0.0.0.0/0 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i eth2 --dport 3050 -j DNAT --to 191.161.10.253

eh assim q ficou? observe que agora usa eth2 e naum eth1

Então, fiz isso e não funcionou, lembrando que mantive a regra anterior, pois são dois bancos em servidores diferentes.

Cada vez que altero essas regras elas se aplicam sozinhas ou tenho que reiniciar o servidor? Existe algum comando para restartar o iptable sem reiniciar a maquina?

Seria : #service iptable restart

???

se for redhat eh service iptables start
se vc digitou essas regras na mao elas se aplicam sozinhas mas se a maquina for rebootada vc vai perder as regras

Caramba... estou surpreso.

Mesmo eu salvando elas no VI quando reinicio perde? Consegue me explicar porque?

Na maquina esta instalado o conectiva 7, sabe qual o comando para não perder mais?

Obrigado desde já.

se vc ta salvando elas em um arquivo por ex:
/etc/regras
qdo vc inicializar o sistema vc tem q falar pra ele recarregar elas denovo

se vc tiver usando RH/conectiva faz assim, aplica suas regras ae executa
iptables-save > /etc/sysconfig/iptables
executa o ntsysv e habilita o iptables pra inicar com o boot q ele vai carregar tudo sozinho

se for outra distro:
chmod +x /etc/regras
dentro do /etc/rc.d/rc.local coloca a linha
/etc/regras

Cara, esta tudo certinho, não falta algum NAT ? segue me script abaixo:

iptables -F
iptables -t nat -F

# Regras para Efetivar Log
iptables -A INPUT -p tcp -i eth1 -m state --state INVALID -j LOG --log-prefix "IPTables: Estado INVALIDO"

#iptables -A INPUT -p tcp -i eth1 --dport 22 -j LOG --log-prefix "IPTables: SSH"
#iptables -A FORWARD -p tcp --dport 4662 -j LOG --log-prefix "EMULE.: "
#iptables -A FORWARD -o eth1 -p tcp --dport 25 -j LOG --log-prefix "SMTP.: "
#iptables -A FORWARD -i eth0 -p tcp ! --dport 80 -j LOG --log-prefix "monitoramento.: "

# IP Spoofing protection
for i in /proc/sys/net/ipv4/conf/*/rp_filter ; do
echo 1 > $i
done

# Ignora solicitação de ping
iptables -A INPUT -i eth1 -p icmp --icmp-type echo-request -j DROP

# Regras para proibir conexao externa nos determinados servicos
iptables -A INPUT -i eth1 -p tcp --dport 3128 -j DROP
iptables -A INPUT -i eth1 -p tcp --dport 53 -j DROP
iptables -A INPUT -i eth1 -p udp --dport 53 -j DROP
iptables -A INPUT -i eth1 -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth1 -p udp --dport 80 -j DROP
iptables -A INPUT -i eth1 -p tcp --dport 21 -j DROP
# iptables -A FORWARD -p tcp --dport 4662 -j REJECT #EMULE
# Determinando informações da placa de rede do speed
# iptables -A OUTPUT -j ACCEPT

# Permitir navegacao sem proxy para estas maquinas
iptables -A FORWARD -p tcp -s 191.161.10.12 -d 0.0.0.0/0 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.2 -d 0.0.0.0/0 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.148 -d 0.0.0.0/0 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.199 -d 0.0.0.0/0 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.116 -d 0.0.0.0/0 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.195 -d 0.0.0.0/0 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.187 -d 0.0.0.0/0 -j ACCEPT

# Libera acesso a envio e recebimento de email
iptables -A FORWARD -p tcp -i eth0 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -i eth0 --dport 110 -j ACCEPT

# Liberar Acesso ao banco(instituição financeira) para as seguintes máquinas
iptables -A FORWARD -p tcp -s 191.161.10.114 --dport 3002 -j ACCEPT

# Permite o Acesso ao servidor de Banco de Dados FireBird
iptables -A FORWARD -p tcp -i eth1 --dport 3050 -d 191.161.10.100 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.100 --sport 3050 -d 0.0.0.0/0 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i eth1 --dport 3050 -j DNAT --to 191.161.10.100

#Atos
iptables -A FORWARD -p tcp -i 200.205.194.11 --dport 3050 -d 191.161.10.253 -j ACCEPT
iptables -A FORWARD -p tcp -s 191.161.10.253 --sport 3050 -d 0.0.0.0/0 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -i 200.205.194.11 --dport 3050 -j DNAT --to 191.161.10.253

# Bloquear navegacao sem proxy para as demais maquinas
iptables -A FORWARD -p tcp -i eth0 -j REJECT
iptables -t nat -A POSTROUTING -j MASQUERADE

olha o erro aki;
iptables -t nat -A PREROUTING -p tcp -i 200.205.194.11 --dport 3050 -j DNAT --to 191.161.10.253

num eh -i 200.205.194.11 e sim -d 200.205.194.11
e muda isso aki tb:
iptables -A FORWARD -p tcp -i eth0 -j REJECT
iptables -t nat -A POSTROUTING -j MASQUERADE

pra
iptables -A FORWARD -p tcp -i eth0 --dport 80 -j REJECT
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE

Continua não funcionando

Por acaso

iptables -A FORWARD -p tcp -i eth0 --dport 80 -j REJECT
iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -j MASQUERADE

no --dport 80 não seria 3050 ? que é a porta de meu serviço?

naum isso eh pra ninguem sair por http sem proxy

Faz o seguinte vamos refazer esse firewall q eh mais facil
primeiro libere TUDO, deixa tudo como accept e crie apenas as suas regras de redirecionamento

iptables -t nat -A PREROUTING -p tcp -d IP_EXTERNO1 --dport 3050 -j DNAT --to IP_INTERNO1
iptables -t nat -A PREROUTING -p tcp -d IP_EXTERNO2 --dport 3050 -j DNAT --to IP_INTERNO2
iptables -t nat -A POSTROUTING -s REDE_INTERNA -j MASQUERADE

se isso funcionar depois vc vai criando as regras de bloqueio

Boa noite 1c3_m4n

Em primeiro lugar agradeço sua ajuda que tem sido muita, sou novato em Linux e este trabalho vai me ajudar a alavancar muita coisa, não posso mais desisistir, a situação é a seguinte, peguei esse firewall pronto, estas regras estão dentro do diretório /etc/rc.d/init.d/regras

Quero saber o seguinte, se eu apagar tudo o que tem nesta regra o que acontece? para de funcionar o firewall ? se eu colocar só direcionamento vai funcionar ?

naum precisa apagar apenas faca
/etc/rc.d/init.d/iptables stop
e digite pela linha de comando as regras q eu passei no post anterior

Amigo, dou o comando #iptables stop e da a seguinte mensagem:

BAD ARGUMENT

a versão do iptables é v1.2.2 seria por isso?

limpa as regras com iptables -f

Citação:

---

Postado originalmente por Anonymous

Amigo, dou o comando #iptables stop e da a seguinte mensagem:

BAD ARGUMENT

a versão do iptables é v1.2.2 seria por isso?

---

faz oq o Jim falou e atualiza esse iptables cara

da "no command specified"

Até gostaria da zerar essa maquina e fazer novamente, mas ela esta tiva e o dono não quer qazer isso.

Me expliquem uma coisa, quando dou o comando iptables -F não mostra nenhuma regra criada. Quer dizer que não esta entrando as regras que estou inserindo?

CARA DA UMA OLHADA NESSAS REGRAS ESSE É UM EXEMPLO DE UM DOS FIREWALL MAIS SEGUROS QUE EU JÁ FIZ.

#! /bin/bash

########################################
# Descrição: Inicializaçao do Firewall #
# #
# Data de criação: 17/01/2003 #
# Nome do Processo: Iptables #
# Autor: Osney Osmar da Silva Santos #
# Cargo: Analista de Suporte #
########################################

REDE="IP DA REDE" # EX. 10.10.10.0/24

# DEFINIÇÕES PERSONALIZADAS IPTABLES
IPT=/usr/sbin/iptables

# IPS DA REDE # AQUI VOCÊ PODE COLOCAR ALGUNS IPS DA SUA REDE PARA PERSONALIZAR EX. JOAO="10.10.10.10"


# CARREGANDO MODULOS IPTABLES
MOD=/sbin/modprobe
$MOD ip_conntrack
$MOD ip_conntrack_ftp
$MOD ipt_LOG
$MOD iptable_nat
$MOD ip_nat_ftp

# HABILITANDO IP_FORWAR
echo 1 > /proc/sys/net/ipv4/ip_forward

# ZERA REGRAS
$IPT -t filter -F
$IPT -t filter -Z
$IPT -t filter -X
$IPT -t nat -F
$IPT -t nat -Z
$IPT -t nat -X

# DEFINE POLÍTICAS NAT
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT

# DEFINE POLÍTICA DE INPUT, OUTPUT E FORWARD # ISSO É SUPER SEGURO
$IPT -t filter -P INPUT DROP
$IPT -t filter -P OUTPUT ACCEPT
$IPT -t filter -P FORWARD DROP

# REGRAS NAT
$IPT -t nat -A POSTROUTING -s $REDE -o eth1 -j SNAT --to IPINTERNET

# REGRAS DE LOG
#$IPT -A INPUT -i ! eth0 -p icmp ! --icmp-type 8 -m limit --limit 1/s -j LOG --log-level 7 --log-prefix " [ICMP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 21 -j LOG --log-level 7 --log-prefix " [FTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 22 -j LOG --log-level 7 --log-prefix " [SSH Aceito] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 23 -j LOG --log-level 7 --log-prefix " [TELNET Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 25 -j LOG --log-level 7 --log-prefix " [SMTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 53 -j LOG --log-level 7 --log-prefix " [DNS Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 80 -j LOG --log-level 7 --log-prefix " [HTTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 110 -j LOG --log-level 7 --log-prefix " [POP3 Negado] - "
#$IPT -A FORWARD -m unclean -i ! eth0 -j LOG --log-level 7 --log-prefix " [PACOTE SUJO Negado] - "

# LIBERA COMUNICAÇÃO DA INTERFACE DE LOOPBACK
$IPT -A INPUT -i lo -j ACCEPT

# ACEITA CONEXÕES JA EXISTENTES
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# REGRAS DE FTP (21)
$IPT -A FORWARD -s IP -p tcp --dport 21 -j ACCEPT # LIBERA FTP PARA DETERMINADO IP

# REGRAS DE SSH (22)
$IPT -A INPUT -s IP -p tcp --dport 22 -j ACCEPT # LIBERA SSH PARA DETERMINADO IP

# REGRAS DE TELNET (23)
$IPT -A FORWARD -s IP -p tcp --dport 23 -j ACCEPT # LIBERA TELNET PARA DETERMINADO IP

# REGRAS DE EMAIL (25,110)
$IPT -A FORWARD -s IP -p tcp --dport 25 -j ACCEPT # LIBERA SMTP PARA DETERMINADO IP
$IPT -A FORWARD -d IP -p tcp --dport 25 -j ACCEPT # LIBERA VOLTA DE SMTP PARA DETERMINADO IP
$IPT -t nat -A PREROUTING -i PLACA DE IP INTERNET -p tcp --dport 25 -j DNAT --to IP # LIBERA DNAT PELA ETH0 OU ETH1 PARA SMTP E ENVIA PARA O SERVIDOR
$IPT -A FORWARD -s IP -p tcp --dport 110 -j ACCEPT # LIBERA POP PARA DETERMINADO IP

# REGRAS DE DNS (53)
$IPT -A FORWARD -s IP -p tcp --dport 53 -j ACCEPT # LIBERA DNS PARA DETERMINADO IP TCP
$IPT -A FORWARD -s IP -p udp --dport 53 -j ACCEPT # LIBERA DNS PARA DETERMINADO IP UDP

# REGRAS DE HTTP (80,85,443)
$IPT -A FORWARD -s IP -p tcp --dport 80 -j ACCEPT # LIBERA HTTP PARA DETERMINADO IP
$IPT -A FORWARD -s IP -p tcp --dport 443 -j ACCEPT # LIBERA HTTPS PARA DETERMINADO IP

# REGRAS DE PORTAS ALTAS
$IPT -A FORWARD -s IP -p tcp --dport 1024: -j ACCEPT # LIBRA AS PORTAS DE 1024 ATÉ 65000 PARA DETERMINADO IP
$IPT -A FORWARD -s IP -p tcp --dport 30005 -j ACCEPT # LIBERA SOMENTE A PORTA 30005 PARA DETERMINADO IP

NAS REGRAS DE E-MAIL É QUE VOCÊ PODE ENCONTRAR A SOLUÇÃO PARA SEU PROBLEMA. DA UMA OLHA E SUBSTITUA PARA AS PORTAS QUE VOCÊ PROCISA É O MESMO CONCEITO SÓ QUE EU FIZ PARA E-MAIL.

Citação:

---

Postado originalmente por osney

CARA DA UMA OLHADA NESSAS REGRAS ESSE É UM EXEMPLO DE UM DOS FIREWALL MAIS SEGUROS QUE EU JÁ FIZ.

#! /bin/bash

########################################
# Descrição: Inicializaçao do Firewall #
# #
# Data de criação: 17/01/2003 #
# Nome do Processo: Iptables #
# Autor: Osney Osmar da Silva Santos #
# Cargo: Analista de Suporte #
########################################

REDE="IP DA REDE" # EX. 10.10.10.0/24

# DEFINIÇÕES PERSONALIZADAS IPTABLES
IPT=/usr/sbin/iptables

# IPS DA REDE # AQUI VOCÊ PODE COLOCAR ALGUNS IPS DA SUA REDE PARA PERSONALIZAR EX. JOAO="10.10.10.10"


# CARREGANDO MODULOS IPTABLES
MOD=/sbin/modprobe
$MOD ip_conntrack
$MOD ip_conntrack_ftp
$MOD ipt_LOG
$MOD iptable_nat
$MOD ip_nat_ftp

# HABILITANDO IP_FORWAR
echo 1 > /proc/sys/net/ipv4/ip_forward

# ZERA REGRAS
$IPT -t filter -F
$IPT -t filter -Z
$IPT -t filter -X
$IPT -t nat -F
$IPT -t nat -Z
$IPT -t nat -X

# DEFINE POLÍTICAS NAT
$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT

# DEFINE POLÍTICA DE INPUT, OUTPUT E FORWARD # ISSO É SUPER SEGURO
$IPT -t filter -P INPUT DROP
$IPT -t filter -P OUTPUT ACCEPT
$IPT -t filter -P FORWARD DROP

# REGRAS NAT
$IPT -t nat -A POSTROUTING -s $REDE -o eth1 -j SNAT --to IPINTERNET

# REGRAS DE LOG
#$IPT -A INPUT -i ! eth0 -p icmp ! --icmp-type 8 -m limit --limit 1/s -j LOG --log-level 7 --log-prefix " [ICMP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 21 -j LOG --log-level 7 --log-prefix " [FTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 22 -j LOG --log-level 7 --log-prefix " [SSH Aceito] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 23 -j LOG --log-level 7 --log-prefix " [TELNET Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 25 -j LOG --log-level 7 --log-prefix " [SMTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 53 -j LOG --log-level 7 --log-prefix " [DNS Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 80 -j LOG --log-level 7 --log-prefix " [HTTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 110 -j LOG --log-level 7 --log-prefix " [POP3 Negado] - "
#$IPT -A FORWARD -m unclean -i ! eth0 -j LOG --log-level 7 --log-prefix " [PACOTE SUJO Negado] - "

# LIBERA COMUNICAÇÃO DA INTERFACE DE LOOPBACK
$IPT -A INPUT -i lo -j ACCEPT

# ACEITA CONEXÕES JA EXISTENTES
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# REGRAS DE FTP (21)
$IPT -A FORWARD -s IP -p tcp --dport 21 -j ACCEPT # LIBERA FTP PARA DETERMINADO IP

# REGRAS DE SSH (22)
$IPT -A INPUT -s IP -p tcp --dport 22 -j ACCEPT # LIBERA SSH PARA DETERMINADO IP

# REGRAS DE TELNET (23)
$IPT -A FORWARD -s IP -p tcp --dport 23 -j ACCEPT # LIBERA TELNET PARA DETERMINADO IP

# REGRAS DE EMAIL (25,110)
$IPT -A FORWARD -s IP -p tcp --dport 25 -j ACCEPT # LIBERA SMTP PARA DETERMINADO IP
$IPT -A FORWARD -d IP -p tcp --dport 25 -j ACCEPT # LIBERA VOLTA DE SMTP PARA DETERMINADO IP
$IPT -t nat -A PREROUTING -i PLACA DE IP INTERNET -p tcp --dport 25 -j DNAT --to IP # LIBERA DNAT PELA ETH0 OU ETH1 PARA SMTP E ENVIA PARA O SERVIDOR
$IPT -A FORWARD -s IP -p tcp --dport 110 -j ACCEPT # LIBERA POP PARA DETERMINADO IP

# REGRAS DE DNS (53)
$IPT -A FORWARD -s IP -p tcp --dport 53 -j ACCEPT # LIBERA DNS PARA DETERMINADO IP TCP
$IPT -A FORWARD -s IP -p udp --dport 53 -j ACCEPT # LIBERA DNS PARA DETERMINADO IP UDP

# REGRAS DE HTTP (80,85,443)
$IPT -A FORWARD -s IP -p tcp --dport 80 -j ACCEPT # LIBERA HTTP PARA DETERMINADO IP
$IPT -A FORWARD -s IP -p tcp --dport 443 -j ACCEPT # LIBERA HTTPS PARA DETERMINADO IP

# REGRAS DE PORTAS ALTAS
$IPT -A FORWARD -s IP -p tcp --dport 1024: -j ACCEPT # LIBRA AS PORTAS DE 1024 ATÉ 65000 PARA DETERMINADO IP
$IPT -A FORWARD -s IP -p tcp --dport 30005 -j ACCEPT # LIBERA SOMENTE A PORTA 30005 PARA DETERMINADO IP

NAS REGRAS DE E-MAIL É QUE VOCÊ PODE ENCONTRAR A SOLUÇÃO PARA SEU PROBLEMA. DA UMA OLHA E SUBSTITUA PARA AS PORTAS QUE VOCÊ PROCISA É O MESMO CONCEITO SÓ QUE EU FIZ PARA E-MAIL.

---

Nao quero me meter pois isso nao tem nada haver com o topico mas quero ajudar vc antes de desastre :lol: , mas como sou ocioso com seguranca, um cracker pode derrubar seu firewall e sua maquina do jeito que ele esta, ele esta muito bom em algumas partes, mas existe uma falha grave que gera um ataque de DoS em seu servidor. Como? "vc deve perguntar..." Veja o seguinte, a regras de logs:

# REGRAS DE LOG
#$IPT -A INPUT -i ! eth0 -p icmp ! --icmp-type 8 -m limit --limit 1/s -j LOG --log-level 7 --log-prefix " [ICMP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 21 -j LOG --log-level 7 --log-prefix " [FTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 22 -j LOG --log-level 7 --log-prefix " [SSH Aceito] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 23 -j LOG --log-level 7 --log-prefix " [TELNET Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 25 -j LOG --log-level 7 --log-prefix " [SMTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 53 -j LOG --log-level 7 --log-prefix " [DNS Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 80 -j LOG --log-level 7 --log-prefix " [HTTP Negado] - "
#$IPT -A INPUT -p tcp -i ! eth0 --dport 110 -j LOG --log-level 7 --log-prefix " [POP3 Negado] - "
#$IPT -A FORWARD -m unclean -i ! eth0 -j LOG --log-level 7 --log-prefix " [PACOTE SUJO Negado] - "

Ta Blz, o problema aqui eh seu firewall ta ocioso demais por logs:), um cracker pode falcilmente tentar infinitas conexoes com as portas que geram logs com programa simples de shell ou perl com um while infinito com tentativas de conexoes, praticamente em 4 horas ou menos seu servidor cai. Isso gera um ataque de DoS facil facil, abarrota seus logs e consumir toda a memoria de seu servidor enfim derrubando-o. Existe uma solucao simples, coloque uma regra limit em seus logs 5/m, e pronto ele pode tentar mas somente 5 por minutos sao registradas

[]'s

naum sei se você percebeu mas estas regras estão comentadas, por esse mesmo motivo, pois isso aconteceu comigo.

mesmo assim eu agradeço a dica...

e vou implanta-la.