Вы здесьВопрос к опытным линуксоидам
Опубликовано пт, 09/10/2009 - 11:52 пользователем larin
Кто-нибудь может помочь настроить шейпер?
|
Вход на сайтПоиск по блогам и форумамUser menuПоследние комментарии
Aleks_Sim RE:Багрепорт - 2 3 дня
Telly RE:Подайте бедному копеечку на книжку с литреса... 4 дня babajga RE:Удивленная сова 1 неделя Larisa_F RE:Серия «Квадрат» издательства «Текст» 1 неделя Aleks_Sim RE:Беженцы с Флибусты 1 неделя edvud RE:Прошу переформатировать, распознать, etc... 1 неделя monochka RE:С 8 Марта! 1 неделя babajga RE:Книга чуДОМищ 2 недели ProstoTac RE:Подборка о Первой Мировой 2 недели babajga RE:Нержавеющая сабля 2 недели sem14 RE:«Уроки русского» 2 недели Isais RE:Древний Рим. Подборка книг 2 недели kopak RE:О группе Дятлова. О той самой, того самого... 2 недели babajga RE:Отчаянная осень 3 недели babajga RE:Сказки Сени Малины 3 недели babajga RE:Сказки 3 недели babajga RE:Мои четвероногие друзья 3 недели Саша из Киева RE:Кто сможет раздобыть и оцифровать нужные мне книги? 3 недели Впечатления о книгах
paradaise про Иван Александрович Белов
19 03 Очень талантливый автор!"Заступа-2" очень мрачный,что не отменяет юмор Белова и отличное темное фэнтези.Как подарок "Заступа-3" вышел.Почитаю и наверняка перечитаю.Пока все на 5 .Мастер слова!
Синявский про Даг Солстад
18 03 17 марта после непродолжительного нахождения в больнице ушел из жизни норвежский прозаик и драматург. Среди его произведений — «Военная трилогия», «Стыд и достоинство», «Т. Зингер», «Семнадцатый роман».
decim про Гэблдон: Чужестранка. Восхождение к любви [Outlander [= Cross Stitch] ru] (Исторические любовные романы, Любовная фантастика, Попаданцы)
18 03 Дамская сказка про любоффь. ЛФР как есть, и не худший образец. Рояли в кустах и кавалерия имеются в количествах, секс для дам - пожалуйста, бэкграунд - уточнить у Скотта В. и Бёрнса Р. Малость слэша тоже есть. Садомазо ……… Оценка: неплохо
nik_ol про Устинова: Детектив на краю лета (Детективы: прочее)
17 03 А что, у Поляковой больше ничего не выхожит? Вместе с её соавтором?..
gruin про Чайка: Купец из будущего ч.1 (Альтернативная история, Попаданцы, Самиздат, сетевая литература)
17 03 Капитальная нудятина. Просто тошнит Оценка: нечитаемо
mysevra про Чайлд: Забытая комната [The Forgotten Room ru] (Научная фантастика)
17 03 Персонажи невероятно тупят, выдавая лежащие на поверхности факты за сверхумные озарения. Сплошное разочарование. Оценка: плохо
mysevra про Шемшук: Сыроедение – путь к бессмертию (Здоровье)
17 03 Такую разудалую пургу под одной обложкой редко встретишь. Тут и старость от слова star, и годовалые дети-мудрецы, и умершие от восторга деревья. И поработители, желающие уничтожить человечество, но доведшие популяцию уже до ……… Оценка: неплохо
Belomor.canal про Яхина: Эйзен: роман-буфф (Современная проза)
17 03 Это не роман, то есть не худлит. Это нон фикшн, беллетризированная биография Эйзенштейна, но написанная так что биографию - то есть где и когда и с кем надо держат на коленках, потому как ЖЗЛ Эйзенштейн еще не оцифрован. В ……… Оценка: неплохо
mysevra про Ершов: Конек-Горбунок (Сказка, Детские стихи)
17 03 Замечательна сказка. Со временем воспринимается по-другому, но нравится ещё больше. Оценка: отлично!
jonyks про Гагин: Книга Достигатора (Психология, Самосовершенствование)
17 03 книга просто отличная! очень веселая
miri.ness_ про Александер: Секс был. Интимная жизнь Советского союза (Публицистика, Эротика, Секс)
16 03 Мало кто знает, как Людмила Иванова (автор "Секса у нас нет") закончила фразу (под улюлюканье зала) так: "У нас есть любовь". Жаль, тут скриншот не прикрепишь. Может, не грохнут: https://nnmclub.to/forum/viewtopic.php?t=1763774 Оценка: плохо
Gilean про Боксер [Дамиров, Гуров]
16 03 Читаю 3 книгу и это начинает напоминать, того же Курсанта. Герой начинает "вляпываться" в закрытый кружок получателей благ в СССР через девочек. В общем-то читать интересно, но если для вас это не первая серия писателя, ……… |
Комментарии
Отв: Вопрос к опытным линуксоидам
Помочь могу, email отправил .
Вот еще такая идейка возникла:
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 5 -j DROP
На сервере или на балансере сразу паразитный траффик упадет , так как браузер oкрывает ограниченное количество connections к серверу , к примеру IE8 oткывает 8, Firefox конечно не мелочится и может откыть и 15 , но и с 5-ю будет работать нормально. Ты не смотрел, сколько connection открывают ДДОС машины?
Но тут уже можно подобрать опытным путем.
Ещё можно изменить TCP congestion control алгоритм , скажем попробовать TCP-Vegas вместо TCP-Reno который используется по умолчанию.
Антон
Отв: Вопрос к опытным линуксоидам
К основному серверу connectionы открывают не ддос машины, а прокси. И как-то некузяво их в этом ограничивать.
Отв: Вопрос к опытным линуксоидам
Я и имел в виду использовать connlimit на прокси. Давай попробуем, мы всегда можем все вернуть в первоночальное состояние. Ну что , пишем скрипт?
Антон
Отв: Вопрос к опытным линуксоидам
connlimit не спасет, атака-то распределенная.
Да и на некоторых из proxy (которые vps) модули connlimit и recent не работают (но если и работали, особенно не помогли бы).
Отв: Вопрос к опытным линуксоидам
Вот тут очень бы помог tcpdump , чтобы увидеть сколько раз открвают порт DDOS машины. Что-то не верю я что они только окрывают 5-10 коннектов.
И ещё - интересно увидеть
cat /proc/net/ip_conntrack
с прокси.
Антон
Отв: Вопрос к опытным линуксоидам
И ещё - интересно увидеть cat /proc/net/ip_conntrack
[root@xxxxx ~]# cat /proc/net/ip_conntrack
cat: /proc/net/ip_conntrack: No such file or directory
[root@xxxxx ~]# iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 15 -j DROP
iptables: Unknown error 4294967295
[root@xxxxx ~]# uname -a
Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
[root@xxxxx ~]#
Отв: Вопрос к опытным линуксоидам
для использования connlimit ядро надо патчить. лучше hashlimit использовать. типа
iptables -A INPUT -p tcp -m tcp --dport 80 -m state --state new -m hashlimit --hashlimit 10/sec --hashlimit-burst 10 --hashlimit-mode srcip --hashlimit-name HTTP_DOS -j ACCEPT
Отв: Вопрос к опытным линуксоидам
Connlimit is in 2.6.25 , no patch needed , and server runs 2.6.25-14 , so we are ok.
Отв: Вопрос к опытным линуксоидам
> Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
так патчить или нет?
Отв: Вопрос к опытным линуксоидам
можно поподробнее как и чем досят... IMHO трудно защитить север с помощью проксей если основной адрес светится в уведомлениях о регистрации... чаще всего помогает это...
#
iptables -A INPUT -p tcp -j bad_tcp_packets
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -j allowed
#
iptables -A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j DROP
iptables -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
#
iptables -A allowed -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A allowed -p tcp -j DROP
#
могу для теста сделать прокси на основной сервер. отдам 10мегабит чисто с академическими целями... и оговоренными параметрами... вам отфильтрованный трафик мне ботсети и их хозяева?
Отв: Вопрос к опытным линуксоидам
А как можно вычислить бот-машины? IP spoofing разве не используют?
Отв: Вопрос к опытным линуксоидам
ну насчет хозяев я могу и шутить... насчет спуфинга режется он на раз. чтобы какойто вред принести надо чтобы прошло соединение SYN, SYN ACK, ACK. короче неважно вычисляется все... проще показать чем рассказать. обещаю в контент не лезть и пароли не снифирить ;) хозяину ресурса могу представиться в привате.
Отв: Вопрос к опытным линуксоидам
У некоторых провайдеров все же есть NAT (в России особенно распространено), в таких спуфинг не возможен (вернее внутри серой сети возможен, но на Либрусек все равно придет правильный src). Ну а в остальном все зависит от тех, кто в каждом конкретном случае занимается сетью... Технически способов препятствовать такому много, да и у провайдера есть своя заинтересованность в этом: ему ж еще и нужно трафик считать