Вы здесьВопрос к опытным линуксоидам
Опубликовано пт, 09/10/2009 - 11:52 пользователем larin
Кто-нибудь может помочь настроить шейпер?
|
Вход на сайтПоиск по блогам и форумамUser menuПоследние комментарии
Aleks_Sim RE:Багрепорт - 2 1 день
Telly RE:Подайте бедному копеечку на книжку с литреса... 2 дня babajga RE:Удивленная сова 5 дней Larisa_F RE:Серия «Квадрат» издательства «Текст» 1 неделя Aleks_Sim RE:Беженцы с Флибусты 1 неделя edvud RE:Прошу переформатировать, распознать, etc... 1 неделя monochka RE:С 8 Марта! 1 неделя babajga RE:Книга чуДОМищ 1 неделя ProstoTac RE:Подборка о Первой Мировой 1 неделя babajga RE:Нержавеющая сабля 2 недели sem14 RE:«Уроки русского» 2 недели Isais RE:Древний Рим. Подборка книг 2 недели kopak RE:О группе Дятлова. О той самой, того самого... 2 недели babajga RE:Отчаянная осень 2 недели babajga RE:Сказки Сени Малины 2 недели babajga RE:Сказки 2 недели babajga RE:Мои четвероногие друзья 2 недели Саша из Киева RE:Кто сможет раздобыть и оцифровать нужные мне книги? 2 недели Впечатления о книгах
Олег Макаров. про Хволкер: Фанфик по Overlords (Фанфик, Самиздат, сетевая литература)
17 03 2Fornit - вы уверены, что ваш незамутнённый поток политизированной ругани уместен на этом сайте?
gruin про Чайка: Купец из будущего ч.1 (Альтернативная история, Попаданцы, Самиздат, сетевая литература)
17 03 Капитальная нудятина. Просто тошнит Оценка: нечитаемо
mysevra про Чайлд: Забытая комната [The Forgotten Room ru] (Научная фантастика)
17 03 Персонажи невероятно тупят, выдавая лежащие на поверхности факты за сверхумные озарения. Сплошное разочарование. Оценка: плохо
mysevra про Шемшук: Сыроедение – путь к бессмертию (Здоровье)
17 03 Такую разудалую пургу под одной обложкой редко встретишь. Тут и старость от слова star, и годовалые дети-мудрецы, и умершие от восторга деревья. И поработители, желающие уничтожить человечество, но доведшие популяцию уже до ……… Оценка: неплохо
Belomor.canal про Яхина: Эйзен: роман-буфф (Современная проза)
17 03 Это не роман, то есть не худлит. Это нон фикшн, беллетризированная биография Эйзенштейна, но написанная так что биографию - то есть где и когда и с кем надо держат на коленках, потому как ЖЗЛ Эйзенштейн еще не оцифрован. В ……… Оценка: неплохо
mysevra про Ершов: Конек-Горбунок (Сказка, Детские стихи)
17 03 Замечательна сказка. Со временем воспринимается по-другому, но нравится ещё больше. Оценка: отлично!
jonyks про Гагин: Книга Достигатора (Психология, Самосовершенствование)
17 03 книга просто отличная! очень веселая
miri.ness_ про Александер: Секс был. Интимная жизнь Советского союза (Публицистика, Эротика, Секс)
16 03 Мало кто знает, как Людмила Иванова (автор "Секса у нас нет") закончила фразу (под улюлюканье зала) так: "У нас есть любовь". Жаль, тут скриншот не прикрепишь. Может, не грохнут: https://nnmclub.to/forum/viewtopic.php?t=1763774 Оценка: плохо
Gilean про Боксер [Дамиров, Гуров]
16 03 Читаю 3 книгу и это начинает напоминать, того же Курсанта. Герой начинает "вляпываться" в закрытый кружок получателей благ в СССР через девочек. В общем-то читать интересно, но если для вас это не первая серия писателя, ………
trampak про Морозов: Наши танки дойдут до Ла-Манша! (Альтернативная история)
16 03 Какая страна - такая и фантастика. Такой бред даже во времена совка никто не писал. Когда вот читаю подобное всё(чисто в профессиональном плане мне надо подобное читать) ловлю себя на мысли , вот к чему это всё? Ну допустим ……… Оценка: нечитаемо
Barbud про Номен: Старуха (Альтернативная история, Самиздат, сетевая литература)
16 03 Лучше всего автору удаются описания химических реакций и всяких технологий. Выписывать характеры, эмоции, делать персонажей живыми - не его (или не её). Оценка: нечитаемо
decim про Александер: Секс был. Интимная жизнь Советского союза (Публицистика, Эротика, Секс)
16 03 Это про секс не в СССР, а в Москве. За МКАДом, известно, жизни нет. В том числе половой. Книга не является дурным гуглопером, но вовсю под него косит. Оценка: плохо |
Комментарии
Отв: Вопрос к опытным линуксоидам
Помочь могу, email отправил .
Вот еще такая идейка возникла:
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 5 -j DROP
На сервере или на балансере сразу паразитный траффик упадет , так как браузер oкрывает ограниченное количество connections к серверу , к примеру IE8 oткывает 8, Firefox конечно не мелочится и может откыть и 15 , но и с 5-ю будет работать нормально. Ты не смотрел, сколько connection открывают ДДОС машины?
Но тут уже можно подобрать опытным путем.
Ещё можно изменить TCP congestion control алгоритм , скажем попробовать TCP-Vegas вместо TCP-Reno который используется по умолчанию.
Антон
Отв: Вопрос к опытным линуксоидам
К основному серверу connectionы открывают не ддос машины, а прокси. И как-то некузяво их в этом ограничивать.
Отв: Вопрос к опытным линуксоидам
Я и имел в виду использовать connlimit на прокси. Давай попробуем, мы всегда можем все вернуть в первоночальное состояние. Ну что , пишем скрипт?
Антон
Отв: Вопрос к опытным линуксоидам
connlimit не спасет, атака-то распределенная.
Да и на некоторых из proxy (которые vps) модули connlimit и recent не работают (но если и работали, особенно не помогли бы).
Отв: Вопрос к опытным линуксоидам
Вот тут очень бы помог tcpdump , чтобы увидеть сколько раз открвают порт DDOS машины. Что-то не верю я что они только окрывают 5-10 коннектов.
И ещё - интересно увидеть
cat /proc/net/ip_conntrack
с прокси.
Антон
Отв: Вопрос к опытным линуксоидам
И ещё - интересно увидеть cat /proc/net/ip_conntrack
[root@xxxxx ~]# cat /proc/net/ip_conntrack
cat: /proc/net/ip_conntrack: No such file or directory
[root@xxxxx ~]# iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 15 -j DROP
iptables: Unknown error 4294967295
[root@xxxxx ~]# uname -a
Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
[root@xxxxx ~]#
Отв: Вопрос к опытным линуксоидам
для использования connlimit ядро надо патчить. лучше hashlimit использовать. типа
iptables -A INPUT -p tcp -m tcp --dport 80 -m state --state new -m hashlimit --hashlimit 10/sec --hashlimit-burst 10 --hashlimit-mode srcip --hashlimit-name HTTP_DOS -j ACCEPT
Отв: Вопрос к опытным линуксоидам
Connlimit is in 2.6.25 , no patch needed , and server runs 2.6.25-14 , so we are ok.
Отв: Вопрос к опытным линуксоидам
> Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
так патчить или нет?
Отв: Вопрос к опытным линуксоидам
можно поподробнее как и чем досят... IMHO трудно защитить север с помощью проксей если основной адрес светится в уведомлениях о регистрации... чаще всего помогает это...
#
iptables -A INPUT -p tcp -j bad_tcp_packets
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -j allowed
#
iptables -A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j DROP
iptables -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
#
iptables -A allowed -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A allowed -p tcp -j DROP
#
могу для теста сделать прокси на основной сервер. отдам 10мегабит чисто с академическими целями... и оговоренными параметрами... вам отфильтрованный трафик мне ботсети и их хозяева?
Отв: Вопрос к опытным линуксоидам
А как можно вычислить бот-машины? IP spoofing разве не используют?
Отв: Вопрос к опытным линуксоидам
ну насчет хозяев я могу и шутить... насчет спуфинга режется он на раз. чтобы какойто вред принести надо чтобы прошло соединение SYN, SYN ACK, ACK. короче неважно вычисляется все... проще показать чем рассказать. обещаю в контент не лезть и пароли не снифирить ;) хозяину ресурса могу представиться в привате.
Отв: Вопрос к опытным линуксоидам
У некоторых провайдеров все же есть NAT (в России особенно распространено), в таких спуфинг не возможен (вернее внутри серой сети возможен, но на Либрусек все равно придет правильный src). Ну а в остальном все зависит от тех, кто в каждом конкретном случае занимается сетью... Технически способов препятствовать такому много, да и у провайдера есть своя заинтересованность в этом: ему ж еще и нужно трафик считать