как узнать пул адресов для IP-адресов DDos-атаки

Я предлагаю, чтобы Вы установили iptables ограничить количество соединения на хост. Ddos может использовать неограниченное количество IP-адресов

sudo iptables -A INPUT -p tcp --dport 25 -m state --state NEW -m limit --limit 50/minute --limit-burst 200 -j ACCEPT
sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -m limit --limit 50/second --limit-burst 50 -j ACCEPT
sudo iptables -A INPUT -j REJECT

-p tcp --dport 25 => Указывает трафик в порте 25 (smtp).

-m state NEW => Это правило относится к НОВЫМ соединениям.

-m limit --limit 50/minute --limit-burst 200 -j ACCEPT => Это - сущность предотвращения DOS.

--limit-burst немного сбивает с толку, но вкратце 200 новых соединений (пакеты действительно) позволяются, прежде чем предел 50 НОВЫХ соединений (пакеты) в минуту применяется.

Второе правило – Предел установил трафик, к которому относится Это правило RELATED и ESTABLISHED весь трафик во всех портах, Таким образом, 50 ESTABLISHED (и/или RELATED) соединения (пакеты действительно) позволяются перед пределом 50 ESTABLISHED (и/или RELATED) соединения (пакеты) в секунду применяются.

или используйте подшипник для всего входа

sudo iptables -A INPUT -m limit --limit 50/minute --limit-burst 200 -j ACCEPT
sudo iptables -A INPUT -j REJECT

Также у Вас есть ответ от Oli и использования whois

Для блока выделения дюйм/с Вы можете всего whois IP, который Вы имеете. Это будет только получать Вас до уровня ISP обычно, если Вы не будете говорить о компании, достаточно крупной, чтобы иметь ее собственные выделения. Например, вот то, что я вижу, ввожу ли я IP-адрес одного из моих серверов:

$ whois 109.74.xxx.yyy
% This is the RIPE Database query service.
% The objects are in RPSL format.
%
% The RIPE Database is subject to Terms and Conditions.
% See http://www.ripe.net/db/support/db-terms-conditions.pdf

% Note: this output has been filtered.
%       To receive output for a database update, use the "-B" flag.

% Information related to '109.74.192.0 - 109.74.199.255'

...

блок там 109.74.192.0 - 109.74.199.255. Можно использовать калькулятор подсети (или большие мозги), чтобы решить, что это 109.74.192.0/21, и просто блок это.

... Но это партия из серверов и не просто моего.

кажется маловероятным, что DDoS произошел бы всего из одной сети все же. Остальная часть этого ответа предполагает, что мы на самом деле говорим о чем-то прибывающем из многих сетей, хотя части его могут все еще относиться к входу единой сети.

, Если Вы не можете войти командный пункт ситуация по этому ботнету —, который является чрезвычайно unlikely—, Вы никогда не будете знать полного объема его, Вы никогда не будете знать, какого дюйм/с это содержит кроме тех, которые соединяются с Вами.

Это не может быть атакой "отказ в обслуживании", это могло бы быть:

• Люди, пытающиеся взламывать MTA. Как любой сервис, они иногда содержат дефекты, которые могут быть протестированы. Mailservers являются особенно болтливыми и плохо настроенные, который делает их хорошей целью. Нет ничего, что можно сделать об этом.

• это открытое реле? Спаммеры просто передают свою электронную почту через Вашу машину? Если Вы, прекратите выполнять открытое реле.

я обычно рекомендую не выполнить mailservers. Люди, которые делают это профессионально как их единственное задание, склонны делать это лучше: сфокусированная безопасность, больше и больше устойчивых сетей и намного лучшего обнаружения спама, которое прибывает из сканирования сотен миллиардов входящих электронных писем день. Стоимость обычно очень допустима.