iptables tűzfalazás - Támadások, portscan szűrése

Üdv!

Nekiálltam egy rendes tűzfal összerakásának, amiben igyekszek a legtöbb dolgot elkövetni, hogy megússzak néhány kellemetlen percet. A tűzfalnak a következő feladatai vannak: DoS védelem, portscan védelem, szükséges portok nyitása, a maradék átjutó "hibás" csomag szűrése, szükséges portok nyitása, minden egyéb elutasítása. Erre a feladatra állítottam össze ezt a scriptet. Ezzel kapcsolatban szeretném a tapasztaltabbak véleményét kikérni. Mi jó benne, mi rossz, mi kerülte el a figyelmemet, mit kellene másképp megoldani?

Ahogy teszteltem a dolgot, nagyjából jól is működik. Azonban a limit modul paraméterezése nem teljesen világos számomra így abban kérnék egy kis segítséget. Példának itt ez a sor:

$IPTABLES -A FINSCAN -m limit --limit 1/min --limit-burst 1 -j LOG --log-prefix "[Firewall] FIN scan: "

Itt úgy gondoltam, hogy percenként 1 sor(--limit 1/min) kerül majd a logba, de a burst opció többszöri utána olvasás ellenére sem teljesen világos. Ahogy megfigyeltem ez így ebben a formában nem is azt csinálja amit szeretnék, mivel csak egyetlen sor kerül a logba mikor elkezdek nmap-el garázdálkodni és utána akárhány percen át megy, több log bejegyzés nem születik.

Valamint a 30 perces tiltólista is esetenként furcsán működött, bár lehet ott más befolyásolta a dolgot. Az IP-k, akiknek kell fel is kerülnek a recent modul listájára, de 30 perc múlva nem mindig járt le a tiltás. Mivel a gépre, ahonnan nmap-eltem ssh-n keresztül jelentkeztem be a tűzfalas gépről, lehet hogy a félbeszakított ssh kapcsolat hosszabbította mindig meg a tiltás idejét...

Hu, ez így kicsit tömény lett, de remélem érthető... Tudom elég sok ilyen jellegű topik volt már, többek közt azokból is építkeztem.

Köszönöm!