iptables and portknock

всех привествую
сделал так:

iptables -N sshprotect
iptables -A sshprotect -m state --state NEW -m recent --rcheck --name SSH -j AC$
iptables -A sshprotect -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A sshprotect -j DROP
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 1500 -m recent --n$
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 1499 -m recent --n$
iptables -A INPUT -p tcp --dport 22 -j  sshprotect

все работает прекрасно
но вот захотел сделать ак, чтоб доступ открывался только на 5 минут, тобиш добавить временной промежуток времени работы правила, и второе чтоб правило применялось только к тому ИП с которого прошёл стук, пособите куда рыть, буду благодарен

Гляньте knock

Example #2:

This example uses a single knock to control access to port 22 (SSH). After receiving a successful knock, the daemon will run the start_command, wait for the time specified in cmd_timeout, then execute the stop_command. This is useful to automatically close the door behind a knocker. The knock sequence uses both UDP and TCP ports.

text

 [options]
        logfile = /var/log/knockd.log
  [opencloseSSH]
        sequence      = 2222:udp,3333:tcp,4444:udp
        seq_timeout   = 15
        tcpflags      = syn,ack
        start_command = /usr/sbin/iptables -A INPUT -s %IP% -p tcp --syn --dport 22 -j ACCEPT
        cmd_timeout   = 10
        stop_command  = /usr/sbin/iptables -D INPUT -s %IP% -p tcp --syn --dport 22 -j ACCEPT

да не хочу отдельным демоном делать.. должно это решаться как то на уровне ип тайблс

Можно работать по времени.

iptables RULE -m time --timestart TIME --timestop TIME --days DAYS -j ACTION

как то так:

iptables -I FORWARD 7 -s 172.16.0.1 -p tcp -m multiport –dport ssh -o eth0 -i eth1   -m time –timestart 9:00 –timestop 17:59 –weekdays Mon,Tue,Wed,Thu,Fri,Sat,Sun -j ACCEPT

Только iptables должен быть собран с соответствующим модулем.
Ещи почитай здесь

сюда же

В общем курим в строну conntrack limit