unixhater.com :
>>攻击停止一分钟以上自动解封
这是哪条命令实现的，也是Recent模块吗？如果我要一天后解封应该怎么做？

-A INPUT -m recent –update –seconds 60 –hitcount 20 –name PORTSCAN –rsource -j DROP
把60改成60*60*24就可以啦

duanhaixin :
的确很强大，是不是可以用做流量限制，比如类似cisco路由器CAR的功能？

配合TC应该是没有问题，起到流量分类的作用。

这个模块还有一个好处就是可以在各个table中随便调用，如，某些事件可以在filter这个table中触发，然后再nat这个table中来检查。

这也是很艺术的配置：
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A PREROUTING -p tcp -m tcp --dport 80 -m recent --update --seconds 60 --name SSH --rsource -j DNAT --to-destination 192.168.1.1:8080
COMMIT
# Completed on Mon Sep 21 08:34:56 2009
# Generated by iptables-save v1.4.0 on Mon Sep 21 08:34:56 2009
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -m recent --set --name SSH --rsource -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT

如果你访问该主机的80端口，默认访问的是该机器的web服务，但是在访问80端口之前先访问22端口，之后访问80端口就定向到别的机器了。

@echo off
:loop
ping -n 1 -w 500 %1 > nul
for /f “tokens=1,2 delims=” %%i in (’arp -a’) do if %%i==%1 echo Reply from %1 [%%j]
arp -d
goto loop