例えば既存の、

table inet filter
chain input

へ設定するとします。

sudo nft add rule inet filter input \
    icmp type echo-request \
    limit rate 20/second burst 40 packets \
    counter accept

続けて、上限を超えたEcho RequestをDROPします。

sudo nft add rule inet filter input \
    icmp type echo-request \
    counter drop

目的

IPv4 Echo Requestだけをレート制限します。

実行場所

Linux Firewall。

正常例

通常のPingや監視Pingは通過します。

異常時

設定値を超えるEcho RequestがDROPされます。

判断

正常な監視システムまで遮断されていないことを確認します。

非常に重要な注意

20/secondは説明用の値です。

本番環境では、

平常時最大値
+
監視Ping
+
運用Ping
+
一時的なバースト

を計測して決定してください。

また、nftablesはルールの順番が重要です。

このルールより前に、

icmp accept

などが存在すると期待通り動作しません。

変更前に必ず、