Ограничения входящего трафика.

Хех. Привел же вам работающие правила, разрешающие для одного ip 400 запросов в секунду (по udp).

Посмотрите первые посты, все это уже использовалось. Пакеты уходили в дроп, но толку от этого не было. Уходило 5% трафика.
В ближайшее время посмотрю что к чему, но я сомневаюсь, что iptraf показывает "неверные данные".

Какой "толк" вы от этих правил хотите получить? Чтобы трафик перестал литься на сетевуху?

Что-то вроде этого.
То есть чтобы выше 200 пакетов в секунду с одного айпи уходили в дроп, а лучше айпи в бан.

-A INPUT -p udp -m udp --dport 444 -m hashlimit --hashlimit-upto 200/sec --hashlimit-burst 10 --hashlimit-mode srcip --hashlimit-name udp -j ACCEPT 
-A INPUT -p udp -m udp --dport 444 -j DROP

Эти правила пропускают 200 пакетов в секунду с одного ip (+10 пакетов бурста). Все остальное дропается.

Посмотрите первые посты, это правило уже было испробовано.
"Толку от него чуть больше, чем ничего".

Показать

То есть изначально работает, потом увеличиваем количество пакетов и все. "Отпадает". После дальнейших ресетов и вовсе не работает.
Короче говоря, можно сделать вывод: нужно что-то, что будет ловить пакеты до машины(циско например). С iptables каши особо не сваришь.

:)
Вы, для начала, поймите, что iptables фильтрует те пакеты, которые _уже_ попали на сетевой интерфейс. Т.е. iptables не заставит сетевой интерфейс получать меньше пакетов, он способен только не допустить эти пакеты до конечного приложения. Но - так или иначе, утилизация канала будет происходить.
Пример:
Создаем поток на сервер по udp:1111 (любой номер порта сюда подставьте) и наблюдаем за загрузкой интерфейса. Вне зависимости от фильтров, установленных в iptables все пакеты будут приходить на интерфейс, а уже после этого дропаться фаерволом. Даже если политики для INPUT будет DROP без единого разрешающего правила - пакеты все равно будут доставлены. Канал все равно будет утилизирован.

Если же вас интересует именно "уменьшить утилизацию интерфейса сервера", то конечно же перед сервером нужно ставить какую-нибудь дополнительную железку (cisco, dlink, софтовый фаервол на том же linux-е - абсолютно не важно. Эффект, описанный выше вы получите на любом "железе"), и с помощью нее "фильтровать" трафик. Только в этом случае вы можете добиться уменьшения утилизации линка сервера.

Вообще я предлагал более правильное решение - банить айпи.
То есть при наличии порога трафика с айпи - баним, а не просто дропаем.

Можно конечно и банить. Только смотря какими средствами :)