Tja, die Frage überfordert mich. So rein laienhaft würde ich vermuten, weil die HMAC-FW schon ein dem Paketfilter nachgeschalteter Prozess ist, ist es hier eben ein weiterer, zusätzlicher Verarbeitungsschritt, und das (im Gegensatz zu den Netfilter-Modulen) sogar außerhalb des Kernels und darüber hinaus imho auch auf einem höheren Layer. Außerdem verewigen sich die HMAC-Failed's ja auch im LOG, nur halt im VPN-Log, das heisst, statt journald im Log des Daemons... also auch nicht wirklich eine Verbesserung.mat6937 hat geschrieben:14.08.2019 14:03:17Ja, der Server ist gut gehärtet, ... aber es stellt sich die Frage, was ist Ressourcen schonender im Falle eines (Dauer-)Angriffs, die HMAC-Firewall oder der Paketfilter?
Im Grundegenommen liegen also die Conntrack-Module auf der einen Waage-Seite, und die Daemon-eigenen Prozesse auf der anderen... was wiegt hinsichtlich CPU-Last mehr? Aber ich kann (und will) ja nicht grundsätzlich aufs Traffic-Tracking verzichten, ich halte das für wertvoll... und so groß sind die Recent-Tabellen selbst durch die Attacke nicht geworden... es waren ja nicht tausende von SADDR, sondern nur 1000e von Zugriffen einer eher kleineren Anzahl von SADDR.
Ich würde jetzt sagen, wenn ich auf das Logging des Paketfilters verzichten würde, wäre der Paketfilter imho die performanteste Verarbeitung... aber diese Entscheidung an einem einzigen Vorfall in etlichen Jahren festzumachen, wäre m.M.n. auch ein wenig unüberlegter Aktionismus. Außerdem, was mir auch wichtig ist/war, ich verwende das Journald-Logging eben auch als faktisches Positiv-Fazit beim täglichen Kontrollüberblick. Darauf müsste ich dann verzichten... und ich glaube, das würde mir weniger gut gefallen.
. Ich habe dann zunächst meinen MyFritz-DynDNS-Account deaktiviert und den DSL-Router neu gestartet. Danach war erst mal Ruhe. In der Nacht hats dann nur wieder die ganz normalen quasi obligatorischen Zufalls-Treffer-Attacken gegeben. Heute morgen habe ich den alten DNS-Account komplett stillgelegt und einen neuen eingerichtet... jetzt muss ich mal abwarten, wie es in den nächsten Tagen weitergeht.
. Die über viele Stunden ankommenden TCP-Syn-Flag-Pakete kamen zu zig-tausenden zuletzt aus der ganzen Welt, Russland, Amerika, China, Korea. Ich verstehe nur eines an der ganzen Sache nicht ... mir ist schon klar, dass da nicht irgendwelche Typen hundertausende Male meine Adresse auswählen und auf die Entertaste drücken, das tut 'nen stumpfsinniger Bot. Ich kapiere nur nicht, wieso tut der das über viele Stunden lang immer wieder neu, obwohl aus meinem Netz keine Antwort kommt, weil die Pakete verworfen wurden. Selbst ein Bot muss doch irgendwann merken, wenn die Leitung tot ist. Oder denken die, wahrscheinlich ist um 9:00 Uhr Schichtbeginn und ein Thebentimer öffnet mit der Begrüßung "Hereinspaziert" die Türen in mein Netz und die warten einfach darauf? 
40822
... als wenn da jemand das Licht ausgeknipst hat, die Heftigkeit und die für meine Verhältnisse extrem hohe Anzahl von Zugriffen war mit einem Schlag vorbei. Was ist das für ein Scheiss? 
@mat6937, dieser eher geringe Umfang war auch bisher der Grund, warum ich die Logs beibehalten will... ich sehe mit einem Blick zusammengefasst, ob mir irgendwas kopfzerbrechen bereiten sollte.
... jetzt geht das schon wieder los.....