glchat/deploy/nftables/glchat.nft.tpl

# Сгенерировано deploy/install.sh — не редактируйте вручную.
# Ограничения против флуда и перебора (AGENT.md 9.7). Один IP: не более {{CONNLIMIT}} соединений
# к 80/443 и не более {{CONN_RATE}} новых соединений в секунду.
table inet glchat {
    set web_ports {
        type inet_service
        elements = { {{WEB_PORTS}} }
    }

    chain input_guard {
        type filter hook input priority -10; policy accept;

        # Уже установленные соединения не трогаем.
        ct state established,related accept

        # Ограничение одновременных соединений с одного источника.
        tcp dport @web_ports ct state new meter glchat_connlimit size 65535 { ip saddr limit over {{CONNLIMIT}} } drop

        # Ограничение скорости появления новых соединений.
        tcp dport @web_ports ct state new meter glchat_rate size 65535 { ip saddr limit rate over {{CONN_RATE}}/second } drop

        # Защита от SYN-флуда.
        tcp flags & (fin|syn|rst|ack) == syn limit rate over {{SYN_RATE}}/second drop
    }
}