我注意到在我的服务器上快速增加了smtp连接，进一步调查我发现有一个僵尸networking锤击我的smtp服务器。 我试图通过在iptables添加规则来阻止它：
-N SMTP-BLOCK -A SMTP-BLOCK -m限制 – 限制1 / m – 限制突发3 -j LOG – 日志级别通知 – 日志前缀“iptables SMTP-BLOCK”-A SMTP-BLOCK -m最近–name SMTPBLOCK –set -j DROP -Ainput-p tcp –dport 25 -m状态–state新-m最近–name SMTPBLOCK –rcheck –seconds 360 -j SMTP-BLOCK – 一个INPUT -p tcp –dport 25 -m状态–state新-m最近–name SMTP –set -A INPUT -p tcp –dport 25 -m状态–state新-m最近–name SMTP –rcheck –seconds 60 –hitcount 3 -j SMTP-BLOCK -A INPUT -p tcp –dport 25 -m状态–state NEW -j ACCEPT
这将避免他们“太快”，但问题仍然是，每秒5次，这是疯了，我不得不抹去最大数量的sendmail / dovecot孩子。 有太多的IPS手动过滤，只是简单地改变到另一个端口是不实际的，因为我有很多其他的客户端在该服务器上。
我正在使用dovecot发送邮件，任何想法有更有效地过滤出来的？
我的意思是确保你有备用的MX主机在船上; 然后阻止从备份MX主机以外的所有机器访问您的端口25。 入站合法邮件将被传送到备份MX主机，该主机将能够将其交付给您; 但是没有发往您的系统的入站邮件并且来自已知的主机将不起作用。
（“备份MX主机”甚至可以是你的另一台机器，甚至是按小时租用几天的VPS /云计算机。）
不要与僵尸networking进行军备竞赛 – 它可以比增加带宽和服务器更快地增加stream量。
这听起来也许你在一台机器上有很多客户/域，这使得更多的工作。 抱歉。
你可能会考虑移动到一个新的IP地址和/或更改被攻击的主机的Alogging到127.0.0.1，并find一个新的服务器名称 – 有一些合理的机会垃圾邮件发送者将移动到另一个受害者，并离开你的新主机名/ IP地址。