glchat/deploy/nftables/glchat.nft.tpl

# Сгенерировано deploy/install.sh — не редактируйте вручную.
# Ограничения против флуда и перебора (AGENT.md 9.7). Один IP: не более ${CONNLIMIT} соединений
# к 80/443 и не более ${CONN_RATE} новых соединений в секунду.
table inet glchat {
    set web_ports {
        type inet_service
        elements = { ${WEB_PORTS} }
    }

    chain input_guard {
        type filter hook input priority -10; policy accept;

        # Уже установленные соединения не трогаем.
        ct state established,related accept

        # Ограничение одновременных соединений с одного источника.
        tcp dport @web_ports ct state new meter glchat_connlimit size 65535 { ip saddr limit over ${CONNLIMIT} } drop

        # Ограничение скорости появления новых соединений.
        tcp dport @web_ports ct state new meter glchat_rate size 65535 { ip saddr limit rate over ${CONN_RATE}/second } drop

        # Защита от SYN-флуда.
        tcp flags & (fin|syn|rst|ack) == syn limit rate over ${SYN_RATE}/second drop
    }
}