Como bloquear ataques de DDoS na camada 4 com o nftables

O perigo invisível dos ataques de negação de serviço

Imagine que a porta de um estabelecimento comercial receba de repente milhares de pessoas tentando entrar ao mesmo tempo, não para comprar, mas apenas para bloquear a passagem. É exatamente assim que funciona um ataque de DDoS, ou negação de serviço distribuída, na camada 4 do modelo OSI. A camada 4 cuita do transporte de dados, gerenciando as conexões TCP e UDP que mantêm seus serviços acessíveis na internet. Quando um servidor é atingido por uma enxurrada de pacotes falsos ou conexões simultâneas infinitas, o sistema operacional esgota seus recursos de memória e processamento, saindo do ar para usuários reais.

Para administradores de sistemas e engenheiros de redes, defender infraestruturas expostas exige ferramentas rápidas e inteligentes, capazes de examinar o tráfego em tempo real sem introduzir lentidão. Historicamente, o iptables cumpriu esse papel por décadas, mas sua arquitetura monolítica sofre gargalos quando o volume de regras cresce consideravelmente. É nesse cenário que o nftables brilha como a evolução natural do firewall no Linux, oferecendo uma sintaxe unificada, melhor performance e estruturas de dados avançadas, como mapas e conjuntos dinâmicos, ideais para mitigar ataques na camada de transporte.

Por que escolher o nftables para proteger servidores expostos

O nftables foi desenhado para substituir o iptables, ip6tables, arptables e ebtables sob um único núcleo lógico e uma máquina virtual integrada no kernel do Linux. Na prática, isso significa que operações que antes exigiam dezenas de regras repetitivas agora podem ser resolvidas de forma elegante com tabelas e conjuntos tipados. Se você já precisou investigar problemas de conectividade ou rastrear gargalos, sabe que a agilidade na hora de aplicar filtros faz toda a diferença para manter a estabilidade operacional da rede.

Além da performance superior em listas extensas de regras, o nftables lida nativamente com estados de conexão e contadores sem sobrecarregar a memória RAM. Ele permite criar contadores dinâmicos por endereço IP de origem, aplicando restrições granulares apenas nos clientes que ultrapassam o limite aceitável de requisições. Para entender melhor como o ecossistema de filtragem do kernel evoluiu, vale a pena conferir estratégias complementares ao bloquear tráfego suspeito e ataques com o nftables, combinando inspeção de pacotes com contramedidas inteligentes.

Configurando o ambiente e criando a tabela base

Antes de implementar as regras de limitação de taxa, precisamos garantir que o nftables esteja instalado e ativo no seu servidor Linux. A maioria das distribuições modernas já traz o utilitário instalado por padrão, mas você pode gerenciá-lo facilmente usando o serviço systemd. O primeiro passo prático consiste em estruturar uma tabela dedicada ao filtro de pacotes, separando as regras de DDoS das demais configurações de rede da máquina.

Para colocar a mão na massa com segurança, vamos criar uma tabela chamada 'filter' na família de protocolos inet, que abrange tanto IPv4 quanto IPv6 de uma só vez. Siga os comandos abaixo na linha de comando do seu servidor para inicializar a estrutura básica de filtragem e evitar interrupções acidentais na sua conexão SSH:

1. Verifique se o serviço do nftables está habilitado e rodando:

   sudo systemctl status nftables

2. Crie a tabela principal do tipo inet:

   sudo nft add table inet ddos_defense

3. Adicione uma cadeia de entrada para o tráfego que chega à máquina:

   sudo nft add chain inet ddos_defense input { type filter hook input priority 0 \; policy accept \; }

Implementando limitação de taxa e controle de conexões

A defesa mais eficiente na camada 4 contra ataques volumétricos envolve limitar o número de novas conexões por segundo e restringir o volume de pacotes de controle. Em um ataque de SYN flood, por exemplo, o invasor envia milhares de solicitações de conexão TCP sem nunca completar o processo de confirmação, esgotando a tabela de conexões abertas do servidor. Para neutralizar essa ameaça, podemos configurar o nftables para monitorar o ritmo em que pacotes chegam de um mesmo endereço IP.

O comando a seguir cria uma regra que descarta pacotes TCP se o endereço de origem exceder um limite específico de requisições em uma janela curta de tempo. Essa técnica impede que scripts maliciosos derrubem a aplicação, preservando os recursos para acessos legítimos. Caso queira aprofundar outras camadas de segurança no sistema operacional, vale combinar estas regras com ferramentas auxiliares detalhadas no guia sobre como bloquear endereços IP maliciosos com o Fail2Ban, criando uma barreira dupla contra invasões.

Regras avançadas com conjuntos dinâmicos e mapas

Uma das grandes vantagens do nftables é a capacidade de utilizar conjuntos dinâmicos que armazenam IPs infratores automaticamente por um período determinado. Em vez de escrever regras estáticas que exigem intervenção manual constante, podemos instruir o firewall a adicionar o endereço de qualquer IP que ultrapasse o limite de conexões simultâneas a uma lista negra temporária. Isso reduz drasticamente o uso de CPU durante um ataque de grande escala.

Abaixo apresentamos a estrutura de regras avançadas utilizando conjuntos com tempo de expiração para automatizar o bloqueio de IPs abusivos:

1. Crie um conjunto dinâmico para armazenar IPs bloqueados temporariamente por 10 minutos:

   sudo nft add set inet ddos_defense blacklist { type ipv4_addr\; flags timeout\; }

2. Adicione a regra que verifica se o IP já está na blacklist e o descarta imediatamente:

   sudo nft add rule inet ddos_defense input ip saddr @blacklist drop

3. Insira a regra de limite que adiciona automaticamente novos infratores ao conjunto:

   sudo nft add rule inet ddos_defense input tcp flags syn limit rate 20/second burst 5 packets add @blacklist { ip saddr timeout 10m } drop

Boas práticas e validação das regras em produção

Aplicar regras de firewall diretamente em servidores de produção exige cautela redobrada para evitar o bloqueio acidental de clientes legítimos ou da sua própria equipe de administração. Antes de aplicar políticas restritivas com a ação de descarte, utilize a diretiva de log para monitorar o comportamento do tráfego durante algumas horas. Analisar os logs do kernel ajuda a ajustar os limites de taxa para valores que reflitam o uso real da sua aplicação sem falsos positivos.

Além disso, mantenha o backup das suas regras atualizado e utilize arquivos de configuração persistentes no diretório padrão do sistema, garantindo que as defesas continuem ativas após reinicializações. Monitorar o desempenho da rede com ferramentas de diagnóstico, como as discutidas em como medir velocidade real e perda de pacotes, também ajuda a certificar que o firewall não está introduzindo latência desnecessária aos pacotes legítimos.

Considerações finais

Proteger servidores expostos à internet contra ataques de negação de serviço na camada 4 é um requisito indispensável para qualquer operação moderna de infraestrutura. O nftables demonstra ser uma ferramenta poderosa, flexível e de altíssima performance para filtrar tráfego malicioso de forma cirúrgica. Ao combinar limitação de taxa baseada em estados, conjuntos dinâmicos e monitoramento contínuo, você constrói uma muralha defensiva robusta que mantém seus serviços no ar mesmo sob condições extremas de estresse na rede.

Lembre-se de que a segurança da informação é um processo contínuo e evolutivo. Acompanhar o comportamento do tráfego, revisar periodicamente as regras de firewall e integrar diferentes camadas de proteção garantem que sua arquitetura permaneça resiliente diante das crescentes ameaças do ambiente digital. Implemente os conceitos apresentados com cautela, valide cada etapa e mantenha seus sistemas sempre preparados para o inesperado.