Хорошая компания, постоянно какие-то проекты выкладывает в опенсорц. А ещё у них есть зеркало Убунты буквально в паре хопов от меня.

Плюсую в карму.

от автора echinus wm между прочим

Молодцом, все молодцом

это решение для провайдеров, а не для пользователей ?

Отличная вещь! Спасибо большое за работу и за публикацию под GPL.

А IPv6 поддерживается?

Это решение для HSP. У крупных ISP такой проблемы нет.

В 2000 году выпустить на nix фильтр трафика - это мощно. Потрясаете основы, парни!

Извините, в 2016 тоже круто!

Кто в курсе, просвятите.

защита от SYN/ACK

делается тупо дропаньем пакетов, если их слишком много?

Нет.

«для которых возможна предварительная установка модуля для ядра. »

А разве нельзя собрать модуль отдельно для уже имеющегося ядра и подгружать его после старта сервера?

А разве нельзя собрать модуль отдельно для уже имеющегося ядра и подгружать его после старта сервера?

Подозреваю, что имеется в виду «у вас есть root-доступ к серверу и вы можете управлять модулями ядра».

А про то, что проект написан на Rust не написали... Пожалуй, это первый серьёзный проект на этом ЯП, который я видел.

нет, надо уметь отсеять именно те хосты, которые досят. иначе досеры победили - ты дропаешь честных пользователей.

те хосты, которые досят

Это какбы подразумевалось. Я про сам сетевой экран, что он делает.

Это какбы подразумевалось. Я про сам сетевой экран, что он делает.

пройти по ссылке и почитать не судьба?

Спасибо, тогда не нужно.

// Jesús MEDA

Прочитал описание и остался в недоумении.

Люди сделали довольно хакерный, но вполне рабочий способ вынести обработку открытия соединения на отдельный сервер. Да, подняли количество соединений с миллиона в секунду до десяти и при этом сняли нагрузку с сервера. Ок, но что дальше?

Никаких банов, никакой статистики и резака ненормальных запросов не предусмотрено. Просто позволяют забить не гигабитный, а 40 гигабитный канал.

В качестве недостатка они лишили сервер возможности резать трафик правилами iptables посколько вся процедура инициации сессии у них идет на другом сервере. Там же и простейшие правила фильтрации подключают.

В целом интересно, но по моему это тупиковая ветка.

Пролистал исходники — код не выглядит таким ужасным и перегруженным, как некоторые любят расписывать, ругая Rust.

use ::yaml_rust::{self,YamlLoader};
use ::yaml_rust::yaml::Yaml;
use std::net::{Ipv4Addr,SocketAddr,AddrParseError};
use std::path::Path;
use std::fs::File;
use std::str::FromStr;
use std::io::{self,Read};
use ::pnet::util::MacAddr;
use ::filter::{RuleLoader,FilterAction};
use ::bpfjit::BpfJitFilter;

Опять заборы из двоеточий. В топку.

А вот и ответочка от компаний

https://wiki.hetzner.de/index.php/DDoS-Schutz/ru

Чем больше открытых прокетов - тем лучше.

Наша задача как компании не в том, что бы с кем то соревноваться или зарабатывать на сервисе защиты от DDOS. Главный посыл в том, если технологии защиты и подобные сервисы как https://wiki.hetzner.de/index.php/DDoS-Schutz/ru будут бесплатными и открытыми (если хватит времени мы тоже подобный запустим) - смысла DDOS как такового не будет.

Смысл досить если есть бесплатная защита ? И простите любой школьник сможет ее поставить. Как только стоимость защиты будет ниже стоимости атаки - проблемы не будет как таковой.

По поводу комментария о добавлении в Blackhole - на syncookie направляется трафик который уже прошел роутер - это не средство борьбы с забитыми каналами. Если вам нужно, что бы каналы не забились: используйте BGP FlowSpec - у нас его поддерживают retn и ruscom статические ACL у провайдера - поддерживают почти все BGP комьюнити для управления трафиком

и банальный blackhole - но это самый ужасный из доступных вариантов.

Я тоже в своё время написал подобную программу, правда парсил лог апача и добавлял правила через прямой запуск iptables, сорцы в открытом доступе исчезли (российский FireForge по-удалял все проекты). Может быть, выложу потом - программа интересна как академическая разработка (`конечные автоматы` для парсинга лога).

Нет, никому это не интересно. Не выкладывай свое поделие.

Нет, никому это не интересно

Солнышко не припекает? =)

Выкладывай, я вообще думаю, что отделять легитимных юзеров от нелегетимных занятие неблагодарное, тем более только на основе парсинга логов веб-сервера. Может человеку curl захотелось запустить там или коки отключены, что сразу его банить?
AlexeyYManikin, есть такой глупый вопрос

Фактически, 10 ядер процессора Intel Xeon E5-2680v3 могут обрабатывать до 10 Гбит трафика. Один физический сервер способен обрабатывать более 40 Гбит трафика.

Если оборудование берется в аренду в облаке, разве не дешевле будет просто оплатить 10 Гбит DDoS, чем арендовать отдельную железку. Или нужно просто арендовать что-то, где нужно будет процессорное время, и если сервер с syncookied будет простаивать основное время, то все равно окупится?
Это уже не говоря, что большинство провайдеров бесплатно предоставляют защиту от DDoS.

Выкладывай,

Вот, лови, оформил снова в виде странички http://lubyagin.ru/projects/logipinspect.html (внизу страницы ссылка на tar.gz)

Может человеку curl захотелось запустить там

Это было тестовое задание при приёме на работу в провинциальный вуз, инженером-программистом (2009).

/* максимально допустимое число адресов IPv4 за одну минуту */
//#define N_MAX_IP_A 1000
#define N_MAX_IP_A 100
/* максимально допустимое число адресов IPv4 за один час */
#define N_MAX_IP_B (N_MAX_IP_A*60)

Так это по сути ты в свое время сделал такой «ddos deflate», только пошел не по простому пути отслеживания количества соединений, а по пути парсинга логов apache.

+1

Это уже не говоря, что большинство провайдеров бесплатно предоставляют защиту от DDoS.

это какие такие провайдеры и от какого типа DDoS?

hetzner, ovh, множественные реселлеры последней.

скорее всего там только l7

Статья с описанием

https://habrahabr.ru/post/301892/