LINUX.ORG.RU
Форум — Admin  

Простой фильтр от ддос-атак

 , ,


0

1

Приветствую. Хочу замутить бюджетную защиту от http-ддоса с простой логикой: если количество запросов в секунду с определённого ip-адреса превышает заданное значение, то http-запросы с этого адреса перенаправляются в /dev/null, минуя апач. Предполагаю, что копать надо в сторону iptables и какого-либо из анализаторов логов, но хотелось бы больше конкретики по этой теме. Что лучше использовать? Что проще в освоении? Может, я вообще в самой концепции ошибаюсь? (%

← сервер имен для локальной сети
Отключение IFACE OPTIONS в /etc/network/interfaces →

Ты хоть гуглил? У iptables есть правила для ограничения одновременных коннектов с одного адреса\подсети\на порт\подставь свое.

alozovskoy ★★★★★
()
Ответ на: комментарий от alozovskoy

Смысл в отсутствии ответа на запрос. Простое ограничение выдаёт ошибку, а задача в том, чтобы не выдавало вообще ничего. То есть чтобы запрос не получал отказ а пропадал безответно.

Unrecovered
() автор топика

Используй fail2ban, стандартные настройки немного подкрути, там всё понятно.

Y ★★
()
Ответ на: Что-то мне это напоминает.... от pony

И к чему это? Флуд чтоли? Тогда идите в толксы. Вайн? Отлично! Идите в толксы! Или вы просто грубить пытаетесь? Тогда идите нах.

Unrecovered
() автор топика
Ответ на: комментарий от sergej

У меня первые 2 ссылки по словам iptables ddos дают нужные инструкции.

sergej ★★★★★
()
Ответ на: комментарий от Y

fail2ban - это очень медленно. IMHO лучше всего иметь поддержку такого бана в самом веб-сервере.

Я некоторое время назад приделывал к nginx поддержку ipset 

limit_req zone=one burst=5 ipset=block10m nodelay;

Проблема только в одном - для работы libipset нужен CAP_NET_ADMIN :(

vel ★★★★★
()
Ответ на: комментарий от black_13

На практике не использовал, расскажите как оно.

От DDoS отбивался на FreeBSD, там в PF есть интересная фича probability 98%, она имитирует потери в канале. Весьма занимательная штука, «держит» TCP сессию атакующего и не дает закрыть соединение.

Но TARPIT по идее должен быть поинтереснее.

black_13 ★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← сервер имен для локальной сети
Admin
Отключение IFACE OPTIONS в /etc/network/interfaces →