Правила форума Гаранты форума
Размещение рекламы AMX-X компилятор

Здравствуйте, гость Вход | Регистрация

Наши новости:

14-дек
Добавлена поддержка utf8mb4
24-апр
Telegram группа
10-апр
Обновление PHP
11-апр
Раздача читов

2 страниц V   1 2

Помогите защититься Iptables и прочие шаманства
Статус пользователя f1nik
сообщение 17.3.2015, 19:25
Сообщение #1


Иконка группы

Стаж: 15 лет

Сообщений: 1862
Благодарностей: 932
Полезность: 1010

Сегодня в обед упал форум и отвалился тимспик... Придя домой обнаружил письмо от хостера:

Цитата
Информируем вас о том, что один из IP адресов вашего виртуального сервера заблокирован. На сервер с IP ********* идет огромное количество трафика, это нарушает работу сети и создает проблему для других наших клиентов. В течение последних 10 минут на ваш сервер зафиксирован средний входящий трафик 105.4 M бит в секунду. Средний размер пакета 321 байт.

Основные источники трафика:
120.197.56.81 58.1M байт в секунду с размером пакета 330 байт на 9987 порт.
218.85.159.115 57.9M байт в секунду с размером пакета 329 байт на 9987 порт.
61.175.226.82 57.4M байт в секунду с размером пакета 326 байт на 9987 порт.
220.168.205.2 57.4M байт в секунду с размером пакета 326 байт на 9987 порт.
113.141.25.30 57.4M байт в секунду с размером пакета 326 байт на 9987 порт.
ppp170-79.nb.zj.cninfo.net61.130.79.170 57.4M байт в секунду с размером пакета 326 байт на 9987 порт.
183.203.164.153 57.4M байт в секунду с размером пакета 326 байт на 9987 порт.
113.240.223.138 57.4M байт в секунду с размером пакета 326 байт на 9987 порт.
183.250.25.111 57.4M байт в секунду с размером пакета 326 байт на 9987 порт.
113.241.16.53 57.4M байт в секунду с размером пакета 326 байт на 9987 порт.
123.162.219.66 57.3M байт в секунду с размером пакета 511 байт на 9987 порт.
123.171.164.53 57.3M байт в секунду с размером пакета 511 байт на 9987 порт.
58.214.5.90 57.2M байт в секунду с размером пакета 325 байт на 9987 порт.
116.5.161.19 57.2M байт в секунду с размером пакета 325 байт на 9987 порт.
221.130.61.209 57.2M байт в секунду с размером пакета 325 байт на 9987 порт.

Такое количество трафика может возникнуть по 2 причинам: аномальный всплеск посещаемости или DDoS атака на ваш сервер. Если это всплеск посещаемости, то в дальнейшем ресурсов виртуаьного сервера для вашего проекта будет недостаточно и вам стоит задуматься об аренде выделенного сервера.
Если это DDoS атака, то для обеспечения бесперебойной работы сайта вам необходимо использовать профессиональную защиту от DDoS. Мы готовы предоставить вам подобную услугу либо вы можете воспользоваться помощью сторонних компаний.
Получить доступ к серверу можно воспользовавшись VNC.
Сейчас ваш IP адрес зафильтрован на 24 часа. После фильтр будет снят автоматически, но, если за это время нагрузка не прекратится, сервер вновь будет заблокирован.

Также наши специалисты готовы проконсультировать вас по любым дополнительным вопросам и помочь в возникшей ситуации.



То что это ддос, сомнений нет... конкретно с iptables как то с давних времен не задалось знакомство... Подскажите каким правилом можно отрубить такие пакеты... Или отрубить их количество...
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   Цитировать сообщение
Статус пользователя sergggzi
сообщение 17.3.2015, 19:33
Сообщение #2
Иконка группы

Стаж: 13 лет

Сообщений: 6536
Благодарностей: 6222
Полезность: 807

Все IP из Китая. Может просто заблочить доступ к форуму всем, кроме России, Украины и т.д(нужные страны)?
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
Поблагодарили 1 раз
   + Цитировать сообщение
Статус пользователя f1nik
сообщение 17.3.2015, 19:34
Сообщение #3


Иконка группы

Стаж: 15 лет

Сообщений: 1862
Благодарностей: 932
Полезность: 1010

Цитата(sergggzi @ 17.3.2015, 20:33) *
Все IP из Китая. Может просто заблочить доступ к форуму всем, кроме России, Украины и т.д(нужные страны)?

Как вариант... Хорошая идея... Только как?)))
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя sergggzi
сообщение 17.3.2015, 19:39
Сообщение #4
Иконка группы

Стаж: 13 лет

Сообщений: 6536
Благодарностей: 6222
Полезность: 807

Цитата(f1nik @ 17.3.2015, 20:34) *
Как вариант... Хорошая идея... Только как?)))

например ngnix + geoip
в нете масса статей на эту тему

здесь можно найти коды стран
Скрытый текст

http://dev.maxmind.com/geoip/legacy/codes/iso3166/
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя f1nik
сообщение 17.3.2015, 19:43
Сообщение #5


Иконка группы

Стаж: 15 лет

Сообщений: 1862
Благодарностей: 932
Полезность: 1010

sergggzi,
тут вебсервер совсем мимо... трафик льется на порт тимспик сервера... так что только iptables
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя sergggzi
сообщение 17.3.2015, 19:49
Сообщение #6
Иконка группы

Стаж: 13 лет

Сообщений: 6536
Благодарностей: 6222
Полезность: 807

Цитата(f1nik @ 17.3.2015, 20:43) *
sergggzi,
тут вебсервер совсем мимо... трафик льется на порт тимспик сервера... так что только iptables

ну хз, речь шла, что упал форум))

если тимспик и iptables, то это тогда к спецам по iptables. думаю, Fire поможет )

https://c-s.net.ua/forum/topic49289s0.html

почитай это)

Отредактировал: sergggzi, - 17.3.2015, 19:49
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
Поблагодарили 1 раз
   + Цитировать сообщение
Статус пользователя bot123
сообщение 17.3.2015, 19:56
Сообщение #7


Стаж: 11 лет

Сообщений: 236
Благодарностей: 233
Полезность: 645

f1nik, iptables + geoip.
какая виртуализация сервера?

Отредактировал: bot123, - 17.3.2015, 20:01
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя f1nik
сообщение 17.3.2015, 20:56
Сообщение #8


Иконка группы

Стаж: 15 лет

Сообщений: 1862
Благодарностей: 932
Полезность: 1010

bot123,
KVM
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя f1nik
сообщение 17.3.2015, 21:14
Сообщение #9


Иконка группы

Стаж: 15 лет

Сообщений: 1862
Благодарностей: 932
Полезность: 1010

Чувствую спасение утопающих дело рук самих утопающих... Пойду курить маны... дампы снимать и прочие мракобесия устраивать...

p.s. Помощь и подсказулечки приветствуются...
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя bot123
сообщение 17.3.2015, 21:29
Сообщение #10


Стаж: 11 лет

Сообщений: 236
Благодарностей: 233
Полезность: 645

Цитата
f1nik, Чувствую спасение утопающих дело рук самих утопающих...

всмысле? ссылку на мануал тебе скинуть? пропиши в гугле "iptables+geoip". Как еще тебе помочь, доступ то только тебе известен к серверу, странный.

Отредактировал: bot123, - 17.3.2015, 21:31
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя csnet
сообщение 17.3.2015, 21:32
Сообщение #11
Стаж: 12 лет

Сообщений: 4808
Благодарностей: 3849
Полезность: 690

не поможет.

1. траффик будет литься на ноду хостера даже если вы на виртуалке отобьете 100% траффика
2. расход траффика все равно будет учитываться хостером
3. Если хостер при 100мбитной атаке уже шлет предупреждение, то тут отбивай - не отбивай - хостер все равно теряет канал.


go v cs:go
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
Поблагодарили 2 раз
   + Цитировать сообщение
Статус пользователя bot123
сообщение 17.3.2015, 21:49
Сообщение #12


Стаж: 11 лет

Сообщений: 236
Благодарностей: 233
Полезность: 645

Да, если тебя банят за 100Мбит и ip не скрыть, тут даже никакие правила не спасут, запаса нету, только если бан заранее до атаки осуществить.

csnet, ты не прав, если ip забанен, то коннекта уже не будет с сервером и пакеты передать уже не получиться скрипту-ддосеру, по этому флуд осуществиться уже не сможет.

Так как 100% били со стрессера, то вряд ли встретятся русские ip и как выход банить все страны кроме СНГ

Отредактировал: bot123, - 17.3.2015, 21:50
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя csnet
сообщение 17.3.2015, 22:08
Сообщение #13
Стаж: 12 лет

Сообщений: 4808
Благодарностей: 3849
Полезность: 690

Цитата
csnet, ты не прав, если ip забанен, то коннекта уже не будет с сервером и пакеты передать уже не получиться скрипту-ддосеру, по этому флуд осуществиться уже не сможет.


если айпи забанен это не значит что траффик с него перестанет идти до/на vps
и это также значит что хостеру от этого не станет легче

стрессер на 100мбит? гыгы

Отредактировал: csnet, - 17.3.2015, 22:09


go v cs:go
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
Поблагодарили 1 раз
   + Цитировать сообщение
Shelest
сообщение 18.3.2015, 1:26
Сообщение #14
Стаж: 11 лет

Сообщений: 216
Благодарностей: 86
Полезность: 154

Хостинг не FirstVds?
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя shaid
сообщение 18.3.2015, 1:29
Сообщение #15


Стаж: 14 лет

Сообщений: 1012
Благодарностей: 432
Полезность: 835

http://habrahabr.ru/company/FastVPS/blog/207628/

Отредактировал: shaid, - 18.3.2015, 1:30
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
Поблагодарили 1 раз
   + Цитировать сообщение
Статус пользователя bot123
сообщение 18.3.2015, 1:42
Сообщение #16


Стаж: 11 лет

Сообщений: 236
Благодарностей: 233
Полезность: 645

Цитата
2. расход траффика все равно будет учитываться хостером

Чтобы был расход трафика нужно либо экспортировать(отдавать), либо импортировать(принимать) пакеты. Но если ты игнорируешь злоумышленника - этого произойти просто не может, в случае бана уже идет игнор.
Цитата
если айпи забанен это не значит что траффик с него перестанет идти до/на vps

Тогда теряется необходимость в firewall и систем подавляющих ддос средствами бана по ip lol.gif Если ты закрываешь дверь злоумышленнику, а он снова открывает? смысл тогда в банах?)))

Так что твою мысль я не понимаю, она не сходиться с логикой.
Цитата
csnet, стрессер на 100мбит? гыгы

Не вижу ничего смешного.

Отредактировал: bot123, - 18.3.2015, 1:59
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
Поблагодарили 1 раз
   + Цитировать сообщение
Статус пользователя Fire
сообщение 18.3.2015, 2:00
Сообщение #17


Иконка группы

Стаж: 17 лет

Сообщений: 2201
Благодарностей: 2227
Полезность: 963

Сугубо бесполезное занятие, один фиг трафик будет долетать до сетевой и провайдер успешно нуллроутить ип.


Администрирование серверов. Защита от DDOS. Решение проблем.
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя bot123
сообщение 18.3.2015, 2:04
Сообщение #18


Стаж: 11 лет

Сообщений: 236
Благодарностей: 233
Полезность: 645

Fire, объясни пожалуйста, а то не понимаю. Вот ты говоришь про трафик, но хотя по факту при бане ты не принимаешь входящие пакеты, некому принимать, они улетают обратно с ошибкой что не дошли до этого ip.
И почему сами хостеры фильтруют ddos атаки, простым баном ip? Ведь это не спасает по твоим словам, тогда смысл заморачиватся банами ip при ddos???

Отредактировал: bot123, - 18.3.2015, 2:08
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя shaid
сообщение 18.3.2015, 2:11
Сообщение #19


Стаж: 14 лет

Сообщений: 1012
Благодарностей: 432
Полезность: 835

Цитата(bot123 @ 18.3.2015, 2:04) *
Fire, объясни пожалуйста, а то не понимаю. Вот ты говоришь про трафик, но хотя по факту при бане ты не принимаешь входящие пакеты, некому принимать, они улетают обратно с ошибкой что не дошли до этого ip.
И почему сами хостеры фильтруют ddos атаки, простым баном ip? Ведь это не спасает по твоим словам, тогда смысл заморачиватся банами ip при ddos???

учти ещё разницу в ширине каналов. либо у тебя какой канал в жалкие сотни мегабит (и то я сомневаюсь), с которым при ддосе можно сесть на попе ровно и ничего не делать, т.к. бесполезно, либо у хостеров какой канал.
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
Статус пользователя bot123
сообщение 18.3.2015, 2:15
Сообщение #20


Стаж: 11 лет

Сообщений: 236
Благодарностей: 233
Полезность: 645

shaid, Тут не указан какой ширины канал, тут видно у хостера автоматическую защиту, где поставлен лимит на трафик. Возможно лимит стоит не на 100мбит, а даже меньше, а в письме был указан трафик который отследил робот во время ддоса. Ты не путай.

Я даже знаю что это за хостинг и там ширина канала 23гбит

Отредактировал: bot123, - 18.3.2015, 2:17
Перейти в начало страницы         Просмотр профиля    Отправить личное сообщение
   + Цитировать сообщение
« Предыдущая тема · Linux · Следующая тема »
 
2 страниц V   1 2
 		 Ответить в данную темуНачать новую тему
 
0 пользователей и 1 гостей читают эту тему:
Режим отображения: Стандартный · Переключить на: Линейный · Переключить на: Древовидный
Сообщить другу · Версия для печати

Powered By Invision Power Board  © 2005-2026 
Counter Strike Support Community