Bonjour,
 
Je suis en train de faire des tests pour comprendre Iptables. Le but étant à terme de logguer toutes les connexions un peu "violentes" pour ssh.
Pour tester les règles je passe par le ping (plus simple).
 
Voilà mon iptables

 
Je me dis naievement, que le avg 1/sec burst3 de mon LOG sur les ping va faire la chose suivante:
Si j'ai plus que 1 ping/sec au bout de 3 essai, je ne log plus, car à chaque ping, le burst monte de 1, au bout de 3 ping en moins d'un sec il est full, et vu qu'il redescend toutes les 1/1=1 sec, si je bourrine le ping à moins de 1/sec, il sera toujours plein.
 
Sauf que depuis ma machine, un ping monipreseau -i 0.2 fait que :
- Seul le premier ping passe(j'ai le retour)
- Dans mon log, j'ai un log de ping toutes les secondes!  
 
Comment ca se fait?  
Pour moi, les 3 premiers ping devraient passer, et on devrait plus jamais rien avoir dans le log.  
Ou alors, je veux bien que 1 ping soit loggué toutes les secondes en supposant que le burst redscend quoiqu'il se passe en entrée, toutes les 1/1=1 secondes. Mais dans ce cas, je devrais avoir la réponse aussi toutes les secondes non?
Merci

Je pense avoir ma réponse. La fonction ping envoie plus d'un paquet pour faire un retour(cf la log)

 
Donc seul le premier ping est fait complètement. En passant le limit burst à 4, j'ai bien deux ping de reçu. Par contre, j'ai ensuite un ping toutes les secondes, ce qui veut dire qu'en cas d'attaques bruteforce, on laisse quand meme passer la limit/sec de connexion. Du coup, il faut plutot utiliser des outils style fail2ban si je veux couper l'accès complètement dès qu'il y a plus de x tentatives par sec?(et donc l'interet du burst me parait faible, je pensais qu'ils servait à ça : si on bourrine, il ne redecend jamais et donc on coupe tout. La il ne sert qu'a autoriser un dépassement "à l'allumage"....)
 
Autre question : pourquoi le second ping est pas RELATED(et donc serait autorisé par ma règle qui accept en entrée les related/established)? Est-ce que j'ai bien compris?  
Car j'entreprends de mettre un limit de connexion à 3/min sur mon port ssh. Mais si jamais à chaque commande je dois attendre 20sec, ca risque de me briquer ma machine(uniquement accessible via ssh)