Como bloquear pacotes maliciosos na rede com iptables

Por que proteger sua rede na camada de transporte?

Quando um servidor enfrenta um ataque volumétrico de negação de serviço, o principal sintoma não é apenas a lentidão, mas o esgotamento completo dos recursos de hardware. Na prática, isso significa que a máquina gasta tanta energia processando conexões falsas que os usuários legítimos ficam sem resposta. Para evitar esse colapso, precisamos agir na camada 4 do modelo OSI, que cuida do transporte dos dados através de protocolos como TCP e UDP. O iptables é a ferramenta tradicional no Linux que nos permite examinar e filtrar esses pacotes de forma cirúrgica antes que eles cheguem aos nossos softwares.

Proteger a rede nessa camada exige compreender como o tráfego malicioso se comporta em comparação com o tráfego normal. Enquanto um cliente real abre uma conexão, troca dados e encerra o ciclo de forma organizada, um atacante costuma enviar rajadas massivas de pacotes vazios ou flags TCP manipuladas para confundir o sistema operacional. Se não filtramos essas anomalias logo na entrada, o kernel do Linux sofre para alocar memória para cada tentativa de conexão fantasma. Criar barreiras eficientes aqui significa salvar o servidor de um apagão total de rede.

Identificando padrões de tráfego suspeito

Antes de escrever qualquer linha de comando no firewall, é fundamental saber exatamente o que está acontecendo na placa de rede. Ferramentas de análise ajudam a enxergar se o problema é uma enxurrada de pacotes TCP SYN — o famoso ataque SYN Flood — ou se estamos lidando com pacotes UDP espúrios que entopem a banda disponível. Saber diagnosticar o comportamento do tráfego evita que você bloqueie clientes legítimos por engano ao tentar resolver uma pane. Em cenários complexos, a investigação de falhas de hardware ou rede pode se misturar a problemas de software, exigindo uma análise minuciosa semelhante à verificação física de circuitos na bancada para isolar a origem exata do problema.

Uma vez identificada a assinatura do ataque, o iptables entra em cena para aplicar restrições baseadas em estados de conexão e limites de frequência. O kernel do Linux mantém uma tabela de rastreamento de conexões, conhecida como conntrack, que classifica cada pacote como novo, estabelecido ou relacionado. É justamente essa inteligência que nos permite aceitar o tráfego de quem já está conversando com o servidor, enquanto descartamos rajadas repentinas vindas de endereços desconhecidos. O segredo da filtragem avançada está em dosar o rigor para não penalizar quem realmente precisa acessar o serviço.

Criando regras avançadas com hashlimit

O módulo hashlimit do iptables é uma das armas mais poderosas para conter ataques volumétricos sem derrubar o serviço para todos. Na prática, ele funciona como um leitor de tráfego inteligente que mede quantos pacotes um determinado endereço IP ou porta envia por segundo. Se o limite estipulado for ultrapassado, o pacote extra é descartado ou marcado, enquanto o restante continua fluindo normalmente. Isso impede que um único host malicioso consuma toda a largura de banda ou esgote as tabelas de estado do firewall.

Para implementar essa proteção na prática, precisamos abrir o terminal com privilégios administrativos e inserir regras direcionadas à tabela de filtro. O comando abaixo cria um limite para conexões TCP na porta 80, aceitando até 20 pacotes por segundo por IP, com uma tolerância para rajadas curtas:

iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -m hashlimit --hashlimit-above 20/sec --hashlimit-burst 50 --hashlimit-mode srcip --hashlimit-name http_lmt -j DROP

Neste comando, a opção --hashlimit-above define o teto de aceitação, enquanto --hashlimit-mode srcip garante que o controle seja feito de forma individualizada para cada endereço de origem. Dessa forma, se um usuário específico exagerar nas requisições, apenas ele será freado, mantendo o site acessível para o restante do mundo.

Mitigando ataques SYN Flood na camada 4

O ataque do tipo SYN Flood explora uma vulnerabilidade clássica do protocolo TCP, onde o invasor envia milhares de solicitações de conexão inicial sem nunca concluir a confirmação final. O servidor, educadamente, reserva um espaço na memória e fica esperando a resposta, que nunca chega, até esgotar todos os slots disponíveis. Para mitigar esse comportamento no iptables, podemos utilizar o módulo de limite de rajadas combinando com a flag específica que identifica o início de uma nova conexão TCP.

A regra a seguir intercepta pacotes com a flag SYN ativa e descarta o excesso quando o limite de segurança é atingido:

iptables -A INPUT -p tcp --syn -m limit --limit 10/s --limit-burst 20 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

Essa abordagem simples, porém altamente eficaz, impede que rajadas artificiais de abertura de conexão paralisem a pilha de rede do sistema operacional. Embora não substitua uma solução completa de mitigação na borda da operadora, ela garante resiliência suficiente para manter o servidor de pé durante incidentes de menor escala.

Validação e boas práticas de manutenção do firewall

Aplicar regras avançadas de firewall sem testar o resultado na prática é um risco desnecessário que pode trancar o seu próprio acesso administrativo ao servidor. Sempre que alterar as regras do iptables, mantenha uma sessão SSH secundária aberta ou utilize comandos com temporizador de reversão para evitar o isolamento remoto. Além disso, lembre-se de que as regras inseridas diretamente via terminal desaparecem após a reinicialização da máquina, sendo obrigatório salvar a configuração utilizando pacotes como iptables-persistent.

A manutenção contínua da segurança de rede exige auditorias periódicas nos logs do sistema e acompanhamento do uso de memória da tabela de rastreamento de conexões. Quando o volume de tráfego malicioso cresce a ponto de saturar a interface de rede física, técnicas baseadas em kernel como o iptables podem atingir o seu limite físico de processamento. Nesses cenários extremos, migrar a filtragem para camadas mais profundas de processamento no kernel torna-se indispensável para a sobrevivência da infraestrutura.

Considerações finais

Dominar o uso do iptables para filtrar pacotes na camada 4 é uma habilidade fundamental para qualquer administrador de sistemas que deseja manter serviços online estáveis. Embora ataques volumétricos modernos sejam cada vez mais sofisticados, a filtragem local bem calibrada continua sendo a primeira linha de defesa contra abusos e indisponibilidades cotidianas. Combinando limites inteligentes de taxa, monitoramento constante e regras baseadas em estado, você transforma um servidor vulnerável em um ambiente resiliente e preparado para o tráfego imprevisível da internet.