[问题求助]公网的服务器如何禁止别人扫描端口 [复制链接]

用nmap -A -T4 公司域名.   可以扫描服务器的端口，如果不让别人扫描，.有什么方法。iptables如何实现。.

所谓扫描，不外是 依次对各个port进行访问。。。既然tcp+udp有 65535x2 个port可用，那么为了扫描的速度，注定了该扫描ip短时间内会有很多对该服务器的tcp/udp请求。目前关于对udp的请求限制模块似乎还没有，但是tcp是有的。。。  

不晓得以上知识能否给你提供一点灵感

nmap相当精明
只能尽量减少对公网开的端口
把访问未开端口的包统统DROP掉
打足补丁

QUOTE:原帖由 skylove 于 2006-8-21 21:02 发表
所谓扫描，不外是 依次对各个port进行访问。。。既然tcp+udp有 65535x2 个port可用，那么为了扫描的速度，注定了该扫描ip短时间内会有很多对该服务器的tcp/udp请求。目前关于对udp的请求限制模块似乎还没有，但是 ...

skylove 朋友，那就是说udp端口是没法阻止别人扫描的，tcp的话用 -p tcp --syn -m connlimit 来阻止过多联接吗？  还有就是safedead 朋友说的，只打开要用的那些端口，把不用的全部drop。

[ 本帖最后由 huanghaojie 于 2006-8-22 10:31 编辑 ]

QUOTE:原帖由 huanghaojie 于 2006-8-22 10:30 发表

skylove 朋友，那就是说udp端口是没法阻止别人扫描的，tcp的话用 -p tcp --syn -m connlimit 来阻止过多联接吗？  还有就是safedead 朋友说的，只打开要用的那些端口，把不用的全部drop。


除了上面提到的，另外还可以以彼之道，还施其身。。。白金的反弹防火墙里有用法，不妨看看。

反弹不可取，可能被别人恶意利用为跳板。

QUOTE:原帖由 JohnBull 于 2006-8-22 11:41 发表
反弹不可取，可能被别人恶意利用为跳板。

同感
把真正的 target 放到自己伪造数据包的 source 中就完蛋了。。。

目前 iptables 有個 module 為 psd, 也就是提供該功能的偵測處理使用.

   psd

       Attempt to detect TCP and UDP port scans. This match was  derived  from

       Solar Designer's scanlogd.



       --psd-weight-threshold threshold

              Total weight of the latest TCP/UDP packets with different desti-

              nation ports coming from the same host to  be  treated  as  port

              scan sequence.



       --psd-delay-threshold delay

              Delay  (in  hundredths of second) for the packets with different

              destination ports coming from the same host  to  be  treated  as

              possible port scan subsequence.



       --psd-lo-ports-weight weight

              Weight  of the packet with privileged (<=1024) destination port.



       --psd-hi-ports-weight weight

              Weight of the packet with non-priviliged destination port.
复制代码

==