Estranho é que o CSF não está bloqueando...

Poste a sua configuração CT_ para vermos

Ja tinha postado na primeirra página, mas segue novamente

CT_LIMIT = 300

CT_INTERVAL = 10

CT_EMAIL_ALERT = 1

CT_PERMANENT = 0

CT_BLOCK_TIME = 1800

CT_SKIP_TIME_WAIT = 0

CT_STATES = em branco

CT_PORTS = em branco

Ja tinha postado na primeirra página, mas segue novamente

CT_LIMIT = 300

CT_INTERVAL = 10

CT_EMAIL_ALERT = 1

CT_PERMANENT = 0

CT_BLOCK_TIME = 1800

CT_SKIP_TIME_WAIT = 0

CT_STATES = em branco

CT_PORTS = em branco

Você colocou a porta 80 no CT_PORTS?

Sim.

Não adiantou nada.

Sim.

Não adiantou nada.

Deduzindo o seu CT enviado acima, ele irá banir o IP caso em 10 segundos ele alcance um total de 300 conexões. Isso está ocorrendo?

O que não ocorre na pratica.

Ele fica com a conexão aberta e subindo e subindo e subindo e subindo se eu não banir manualmente ele irá continuar subindo.

Ja vi isso acontecer com o lfd quando o servidor está com pouca memória, então ele não consegue aplicar a regra.

OI pelo que vi era o kernel.

Estava faltando 2 módulos o que foi atualizado e passou a correr.

Agora o engraçado que ele baniu apenas 1 ip com 742 conexões, mesmo eu botando para ele chegar no máximo 60 conexões.

E agora a pouco chegou um ip a 4125 conexões e ele deixou passa.

4125 187.84.226.100

Exemplo:

187.13.148.190 # lfd: (CT) IP 187.13.148.190 (BR/Brazil/187-13-148-190.user.veloxzone.com.br) found to have 742 connections - Fri Jun 8 20:23:51 2012

Mas não achem que a defesa deve começar no CSF pessoal.

A defesa começa na otimização do servidor web (httpd) e de ajustes diversos.

Façam estudos sobre o apache httpd, ajustem os parametros via WHM mesmo e a partir dai a coisa vai se arrumando.

Umas quatro horas em concentração, mostrarão até mesmo para o leigo técnico muitas coisas importantes a serem feitas antes de se chegar no CSF.

Uma boa também seria instalar o varnish, ele aceita muitas conexões e o fato de responder bem mais rápido faz com que não caia com tanta facilidade.