Вопросик )

Сам я на своем сервере конечно в iptables заблочил весь UDP

Хм, и как у Вас теперь DNS работает?

Вы просите техподдержку провайдера сделать то, чего нет в договоре. И скорее всего у них (у тех кто отвечает на ваши запросы) такой возможности (править правила фильтрации на маршрутизаторах) и нет вовсе.

А если вы хотите сменить провайдера и спрашиваете, какие провайдеры по запросу пользователя настраивают фильтрацию на своих маршрутизаторах, то лучше так прямо и задавайте вопрос, заодно у вас явно будут ещё какие-то другие требования. Я таких не знаю, но может кто ответит.

Попробуйте для начала с провайдером сменить ваш IP-адрес, возможно, поможет.

с каналом 1Gbps
пакеты со скоростью ~5-8Gbps

Или лыжи или я. Что-то не сходиться по математике.

Я попросил своего провайдера отрубить нахер весь UDP

имхо неверная формулировка. Писать надо про ddos с просьбой решить проблему, а не предлагать им решение проблемы в виде «отрубить нахер весь UDP».

Сам я на своем сервере конечно в iptables заблочил весь UDP

Надеюсь DROP а не REJECT ?

Разрешил udp со своих dns серверов

Ты стал совсем большой и тебе можно сказать правду. Файрволл не может противодействовать сетевому ддосу. И никогда не мог. А теперь присядь и закрой глаза. В природе вообще не существует рецепта против сетевого ддос. Аминь.

Или лыжи или я. Что-то не сходиться по математике.

На маршрутизаторе провайдера ~5-8Gbps в мою сторону, до меня доходит меньше 1Gbps

имхо неверная формулировка. Писать надо про ddos с просьбой решить проблему

Так поставили Arbor, но он не помогает на 100%, поэтому попросил полностью отключить udp

Надеюсь DROP а не REJECT

да

Так поставили Arbor, но он не помогает на 100%, поэтому попросил полностью отключить udp

Смотрите. Ведь проблема ddos это не только лично ваша проблема. Но и проблема самого прова. Например, Вы отказываетесь от его услуг, на сам адрес ведь ddos продолжиться. Надо на этом акцентировать внимание прова. Это не атака на ваш адрес, а на всего прова. Тем более скорее всего другие адреса тоже по замес попали.

Файрволл не может противодействовать сетевому ддосу. И никогда не мог.

Бывало спасал. Во всяком случае у меня есть история успеха. Но это маааленький ddos был :)

если трафик дошел до файрволла, то это значит, что линия УЖЕ занята. Деда Мороза не существует. Зубной феи тоже нет. Крис, боже, они же еще дети!!

Не поверите, но действительно спас. Это старая тема про массовый ddos на dns, не помню сколько лет назад это было, это мировая атака по всем прошлась.

так это же не сетевой ддос

и потом, это не на днс, это ддос с использованием чужих днс. Не тебя ддосили, а кого-то с помощью твоего днс

Нет именно сетевой был. ЕМНИП кто-то опубликовал готовый скрипт для кулхацкеров, и все мамины какеры понеслись его запускать. Где-то и крупные провы долго справлялись, но мне повезло, обычного fw хватило. Так что разные истории бывают. Но вы правы, это скорее исключение чем правило.

и потом, это не на днс, это ддос с использованием чужих днс. Не тебя ддосили, а кого-то с помощью твоего днс

Это уже другая история была. Так же помню. Нет, моя история старее.

))) ясно. Познал все прелести ))) Мы сейчас решаем проблемы возможных ддосов использованием крупных буферов типа CDN всяких и VPS на специализированных площадках. Самый действенный способ скрыться от ддоса - отсутствие у врага инфы о расположение нашего бэка и наличие устойчивой системы фронтов, которые сами это решают. Пускай досит фронты, на здоровье, не наша это головная боль.

Формулировка «полностью отключить udp» в случае fragmentation звучит наивно. Основная задача атаки заставить маршрутизатор тратить ресурсы на сборку целого ip-пакета из фрагментов. При это информация о том udp, или icmp, или что ещё лежит в первых байтах ip-пакета и не дублируется в остальных. Чтобы понять, что пакет udp нужно его весь собрать. Если уж на то пошло, провайдер должен просто запрещать все фрагментированные пакеты.

С чего вы взяли что на всего прова? Адрес я менял, из другой сети

Но если у провайдера допустим канал 100GB, а атака идет 5-8, разве он не может заблокировать этот трафик, чтобы он не шел ко мне? Мне он не нужен )

# hping3 -S -p 80 --flood xx.xx.xx.xx

Wireshark определяет как UDP

IPv4 1514 Fragmented IP protocol (proto=UDP 17, off=1480, ID=109f)

Таких запросов на 30GB за 3-5 минут
https://imgur.com/a/N7dgW

Провайдер - может. По сути, это задача решается совместными синхронными действиями провайдеров всех уровней.

В смысле, техническая возможность противодейсвовать есть. К этой возможности надо еще, как минимум, навыки. Лично я такими навыками не обладаю и не думаю, что за 5 минут гугления смогу подтянуться до уровня людей, которые на ддосах деньги зарабатывают.

Провайдер - может

Так о провайдере и идет речь

По сути, это задача решается совместными синхронными действиями провайдеров всех уровней

Есть пример такого взаимодействия в реальности?

Есть пример такого взаимодействия в реальности?

я же уже сказал выше, что не в теме по этой теме

С чего вы взяли что на всего прова?

Ну обычно ddos-ят не по одному ip а подсетями. Или вы думаете это конкретная атака вас? Тогда да, все хуже, пров одного клиента может и на юг послать.

Ну обычно ddos-ят не по одному ip а подсетями

Откуда такие данные, можно статистику посмотреть?

пров одного клиента может и на юг послать

Ну послать могут и на улице ) Сейчас дос-атака обычный случай, можно сказать штатный, более менее нормальные провайдеры к ней готовы и имеют средства для ее смягчения и полной утилизации

Откуда такие данные,

1. Практика + отзывы других.

можно статистику посмотреть?

2. Нет конечно. Не собираю такого.

Дядь, типичный провайдер плохо себе представляет что делать с ддос. Возможно, я ошибаюсь. Хорошо бы так.

Сейчас дос-атака обычный случай, можно сказать штатный

Вы хотели сказать ddos ?
Если это направленно на «вас любимых» то это целенаправленная заказуха. И вот тут решать сменой ip не получиться.
Если варианты когда накрывают сетями то другое.

Это как-то больше похоже просто на udp-флуд, чем на фрагментацию, потому что пакеты размером с MTU, если только провайдер их не собирает и не фрагментирует заново.

Да, по поводу первых байт я вам нагнал, протокол указывается в каждом ip пакете. Почему-то подумал, что вы хотите запретить определённые udp-порты (или все, кроме DNS).

Значит это ваше субъективное мнение

Это как-то больше похоже просто на udp-флуд, чем на фрагментацию

А фрагментация это не флуд?

Почему-то подумал, что вы хотите запретить определённые udp-порты (или все, кроме DNS).

Можно было бы запретить только порт, но дело в том, что порт этот был 80, поэтому не мог. Пришлось запретить весь UDP

Флуд, но мелкими пакетами, разрмер фрагмента заметно меньше размера MTU. Хотя, как я уже писал, можно предположить, что хостер дефрагментирует эти пакеты и исходно приходят пакеты меньшего размера.