Вы здесьВопрос к опытным линуксоидам
Опубликовано пт, 09/10/2009 - 11:52 пользователем larin
Кто-нибудь может помочь настроить шейпер?
|
Вход на сайтПоиск по блогам и форумамUser menuПоследние комментарии
Estel22 RE:Подайте бедному копеечку на книжку с литреса... 23 часа
larin RE:Оплатил, но абонемент не отображается 1 день sd RE:Fishing 2 дня Алексей111111111111 RE:Оплатила,но абонемент не отображается 3 дня sd RE:Доступ 27 4 дня kopak RE:Беженцы с Флибусты 6 дней Isais RE:Вадим Иванович Туманов - Всё потерять - и вновь начать с... 1 неделя Isais RE:Семейственность в литературе 1 неделя Isais RE:Древний Рим. Подборка книг 1 неделя Саша из Киева RE:"Экс" и "нео": разноликие правые 1 неделя medved RE:Предупреждение: "зеркала" флибусты 3 недели Isais RE:Соседи 3 недели babajga RE:Как сова отправилась в отпуск 1 месяц Саша из Киева RE:Горящие паруса 1 месяц Саша из Киева RE:Подвиг героев - судьба страны. МНР: люди и годы 1 месяц commodore RE:Письма 1 месяц Саша из Киева RE:Три минуты истории 1 месяц nehug@cheaphub.net RE:Как бы с этим побороться и побороть? 2 месяца Впечатления о книгах
Олег Макаров. про Шопперт: КВЖД [СИ] (Альтернативная история, Попаданцы, Самиздат, сетевая литература)
23 07 Забавно. Попаданец не борзеет, даже песен и стихов не ворует из будущего. Прогрессорствует довольно-таки аккуратно в рамках своих возможностей, но без фанатизма. Хотя странно, что школьный учитель физики круто умеет в военизированное ……… Оценка: нечитаемо
Олег Макаров. про Ямской приказ
23 07 Задумка очень интересная, но написано весьма коряво. Прямо как будто школьник... Диалоги не живые. Тяжело читать. Бросил на середине первой книги Искренне жаль. Могла бы быть классная серия
Aleks_Sim про Грушевский: Історія української літератури т.4 (Литературоведение)
22 07 Не вычитанный совсем после плохого OCR текст Оценка: нечитаемо
francuzik про Никл: Рожденный, чтобы жечь! (Боевая фантастика, Фэнтези, Самиздат, сетевая литература)
21 07 На удивление книга понравилась. Политики совсем нет зато есть юмор. Буду ждать продолжения. Оценка: хорошо
дядя_Андрей про Деметер: Хроники Космического Патруля [СИ] (Боевая фантастика, Самиздат, сетевая литература)
21 07 Предупреждаю сразу, что я ни разу не «заклёпочник», поэтому не стану умножать единицу массы на единицу скорости и делить всё это на единицу гравитации. Это не моё. Просто поделюсь тем, за что зацепился глаз, когда читал. 1. Очень ……… Оценка: хорошо
StrelaVV про Ляпина: Срочно требуется ведьма [СИ] (Городское фэнтези, Любовная фантастика, Самиздат, сетевая литература)
20 07 Очень симпатичная история, легко читается, ГГ чудесная, адекватная ведьмочка
ne_fanat про Княжич Юра
20 07 Сначала было более-менее интересно. Потом автор ударился в веганство, читерство, ГГ покрутел настолько, что в 5 книге его убивали аж пятеро наикрутейших магов, но так и не убили. А больше всего раздражают выплеснутые автором ………
polyn про Ефимова: Отель «Китовый райк» [СИ] (Классический детектив, Иронический детектив, Детективы: прочее, Самиздат, сетевая литература)
20 07 С нетерпением жду продолжения. Оценка: отлично!
Chernovol про Карпов: Княгиня Ольга (История, Биографии и Мемуары)
20 07 Интересно. России тогда же не существовало, было Московское царство. Оценка: плохо
дядя_Андрей про Дивов: Ночной смотрящий (Фэнтези)
20 07 Почему постоянно стирают мой отзыв? Кто это делает и зачем? Девочкам пензячке (пензючке?) aljasonja и ОмОмар (неизвестно откуда) не понравилось что, что кровососы не гламурные томно-бледные красавчеги, а вполне себе кровососы. ……… Оценка: отлично!
dolle про Иванов: Вегетация (Киберпанк, Постапокалипсис)
20 07 Отличная социальная фантастика в антураже роуд-муви с детективным налётом. Оценка: отлично!
mysevra про Престон: Золотой город [Thunderhead ru] (Приключения: прочее)
19 07 Очень интересно, совсем как в детстве – история о приключениях! Но, матерь котья, слишком неторопливо и размерено. Оценка: хорошо |
Комментарии
Отв: Вопрос к опытным линуксоидам
Помочь могу, email отправил .
Вот еще такая идейка возникла:
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 5 -j DROP
На сервере или на балансере сразу паразитный траффик упадет , так как браузер oкрывает ограниченное количество connections к серверу , к примеру IE8 oткывает 8, Firefox конечно не мелочится и может откыть и 15 , но и с 5-ю будет работать нормально. Ты не смотрел, сколько connection открывают ДДОС машины?
Но тут уже можно подобрать опытным путем.
Ещё можно изменить TCP congestion control алгоритм , скажем попробовать TCP-Vegas вместо TCP-Reno который используется по умолчанию.
Антон
Отв: Вопрос к опытным линуксоидам
К основному серверу connectionы открывают не ддос машины, а прокси. И как-то некузяво их в этом ограничивать.
Отв: Вопрос к опытным линуксоидам
Я и имел в виду использовать connlimit на прокси. Давай попробуем, мы всегда можем все вернуть в первоночальное состояние. Ну что , пишем скрипт?
Антон
Отв: Вопрос к опытным линуксоидам
connlimit не спасет, атака-то распределенная.
Да и на некоторых из proxy (которые vps) модули connlimit и recent не работают (но если и работали, особенно не помогли бы).
Отв: Вопрос к опытным линуксоидам
Вот тут очень бы помог tcpdump , чтобы увидеть сколько раз открвают порт DDOS машины. Что-то не верю я что они только окрывают 5-10 коннектов.
И ещё - интересно увидеть
cat /proc/net/ip_conntrack
с прокси.
Антон
Отв: Вопрос к опытным линуксоидам
И ещё - интересно увидеть cat /proc/net/ip_conntrack
[root@xxxxx ~]# cat /proc/net/ip_conntrack
cat: /proc/net/ip_conntrack: No such file or directory
[root@xxxxx ~]# iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 15 -j DROP
iptables: Unknown error 4294967295
[root@xxxxx ~]# uname -a
Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
[root@xxxxx ~]#
Отв: Вопрос к опытным линуксоидам
для использования connlimit ядро надо патчить. лучше hashlimit использовать. типа
iptables -A INPUT -p tcp -m tcp --dport 80 -m state --state new -m hashlimit --hashlimit 10/sec --hashlimit-burst 10 --hashlimit-mode srcip --hashlimit-name HTTP_DOS -j ACCEPT
Отв: Вопрос к опытным линуксоидам
Connlimit is in 2.6.25 , no patch needed , and server runs 2.6.25-14 , so we are ok.
Отв: Вопрос к опытным линуксоидам
> Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
так патчить или нет?
Отв: Вопрос к опытным линуксоидам
можно поподробнее как и чем досят... IMHO трудно защитить север с помощью проксей если основной адрес светится в уведомлениях о регистрации... чаще всего помогает это...
#
iptables -A INPUT -p tcp -j bad_tcp_packets
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -j allowed
#
iptables -A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j DROP
iptables -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
#
iptables -A allowed -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A allowed -p tcp -j DROP
#
могу для теста сделать прокси на основной сервер. отдам 10мегабит чисто с академическими целями... и оговоренными параметрами... вам отфильтрованный трафик мне ботсети и их хозяева?
Отв: Вопрос к опытным линуксоидам
А как можно вычислить бот-машины? IP spoofing разве не используют?
Отв: Вопрос к опытным линуксоидам
ну насчет хозяев я могу и шутить... насчет спуфинга режется он на раз. чтобы какойто вред принести надо чтобы прошло соединение SYN, SYN ACK, ACK. короче неважно вычисляется все... проще показать чем рассказать. обещаю в контент не лезть и пароли не снифирить ;) хозяину ресурса могу представиться в привате.
Отв: Вопрос к опытным линуксоидам
У некоторых провайдеров все же есть NAT (в России особенно распространено), в таких спуфинг не возможен (вернее внутри серой сети возможен, но на Либрусек все равно придет правильный src). Ну а в остальном все зависит от тех, кто в каждом конкретном случае занимается сетью... Технически способов препятствовать такому много, да и у провайдера есть своя заинтересованность в этом: ему ж еще и нужно трафик считать