СТП узнета в выходные и ночью

[alisherk]

Сообщение от Nestik

Интересно что такого умеет железка, что не возможно настроить на сервере?

как минимум, железка будет отражать атаки и не загружать процессор сервера лишними процессами.

[ustas]

Сообщение от Nestik

Интересно что такого умеет железка, что не возможно настроить на сервере?

Она умеет стоить много бабла, как ваши Цисковские модемы модемы у абонентов ;-)

Не подумайте что плохого, я люблю Сиську

[QUOTE=alisherk;165496]

Сообщение от Nestik

как минимум, железка будет отражать атаки и не загружать процессор сервера лишними процессами.

Боюсь что вы не совсем осведомлены о возможностях Линукса.

[alisherk]

Сообщение от alisherk

как минимум, железка будет отражать атаки и не загружать процессор сервера лишними процессами.

Боюсь что вы не совсем осведомлены о возможностях Линукса. [/quote]

о возможностях линукса я осведомлен.
только не очень понятно, при чем здесь его возможности?
по порядку - есть веб-сервер, на котором крутится апач, php, почтовик и возможно база данных. этот сервер атакует ботнет из 30-40к хостов. тип атаки tcp syn flooding.
и не важно кто будет защищать сервер от ddos - snort+iptables или мод-ивасив - у сервера очень быстро исчерпаются ресурсы. и а лучшем случае сервер на запросы норм хостов будет тормозить, а в худшем перестанет отвечать вообще.

[JH]

Сообщение от alisherk

случае сервер на запросы норм хостов будет тормозить, а в худшем перестанет отвечать вообще.

Что если вместо циски установить на ее место промежуточным звеном отдельный дешевый ПК, заточенный под те же задачи? Не будет лучше?

[Nestik]

Сообщение от alisherk

тип атаки tcp syn flooding.

От данного вида атак в Linux стеке TCP-IP предусмотрена специальная защита syncookies. Читать тут. Могу заверить ресурсов для отражения атаки много не понадобится.

[alisherk]

Сообщение от Jahongir Haitov

Что если вместо циски установить на ее место промежуточным звеном отдельный дешевый ПК, заточенный под те же задачи? Не будет лучше?

точить много придется ))
а если серьезно, то участь веб-сервера конечно облегчится.

но много зависит от сетевых карт ПК и настроек софта.

[Nestik]

Оффтоп:

точить много придется ))

Из танка будем вытачивать истребитель? тогда да долго и много точить придётся, и есть вероятность что одного напильника не хватит.

[alisherk]

Сообщение от Nestik

От данного вида атак в Linux стеке TCP-IP предусмотрена специальная защита syncookies. Читать тут. Могу заверить ресурсов для отражения атаки много не понадобится.

syncookies была разработана давно и не имеет поддержки некоторых новых опций tcp. например ограниченная поддержка mss, что в свою очередь приводит к проблемам со скоростью при работе широкополосных абонентов.

[Nestik]

While these restrictions necessarily lead to a sub-optimal experience, their effect is rarely noticed by clients. Furthermore, these restrictions need only apply when the server is under attack, and the connection would have otherwise been denied. In such a situation, the loss of a few of the more esoteric options in order to save the connection is usually a reasonable compromise.

И что это за новые опции появившиеся в TCP стеке с времени появления syncocies?

[alisherk]

Сообщение от Nestik

И что это за новые опции появившиеся в TCP стеке с времени появления syncocies?

в вики не всегда указаны правильные или полные данные
новые опции - Selective Acknowledgment, Window Scaling.

по поводу новых опций, я наверное выразился неправильно, опции старые. но syncookies написан без их учета.

вообщем резюме - sysncookies действительно способны облегчить ситуацию. но это не панацея, тут нужен комплексный подход. и рекомендованная практика - задачи по ids/ips возлагать на спец оборудование со спец ПО.