Вы здесьВопрос к опытным линуксоидам
Опубликовано пт, 09/10/2009 - 11:52 пользователем larin
Кто-нибудь может помочь настроить шейпер?
|
Вход на сайтПоиск по блогам и форумамUser menuПоследние комментарии
Aliki RE:Подайте бедному копеечку на книжку с литреса... 1 день
babajga RE:Плюмаж 1 день Саша из Киева RE:Кто сможет раздобыть и оцифровать нужные мне книги? 3 дня babajga RE:Блошкинс и Фрю. Опасное путешествие 3 дня kopak RE:О группе Дятлова. О той самой, того самого... 1 неделя alexk RE:Багрепорт - 2 1 неделя babajga RE:Удивленная сова 3 недели Larisa_F RE:Серия «Квадрат» издательства «Текст» 3 недели Aleks_Sim RE:Беженцы с Флибусты 3 недели edvud RE:Прошу переформатировать, распознать, etc... 3 недели monochka RE:С 8 Марта! 3 недели babajga RE:Книга чуДОМищ 4 недели ProstoTac RE:Подборка о Первой Мировой 1 месяц babajga RE:Нержавеющая сабля 1 месяц sem14 RE:«Уроки русского» 1 месяц Isais RE:Древний Рим. Подборка книг 1 месяц babajga RE:Отчаянная осень 1 месяц babajga RE:Сказки Сени Малины 1 месяц Впечатления о книгах
Nivigor про Леонтьева: Zа право жить (Современная проза, О войне)
02 04 Сколько бандерюг тут отметилось! Оценка: отлично!
ne_fanat про Капба: Как приручить дракона. Книга 1 [СИ] (Альтернативная история, Киберпанк, Попаданцы, Самиздат, сетевая литература)
02 04 Выскажусь за первые 4 книги цикла. По крайней мере человек умеет писать намного лучше подавляющего большинства заливаемых тут авторов. Нормальный, хороший, правильный язык и складное повествование. Рекомендую. Оценка: хорошо
virtcatty про Леонтьева: Zа право жить (Современная проза, О войне)
02 04 Не сильно Литературно, но читать можно, и ГЛАВНОЕ НУЖНО! Чтобы люди знали. Для Лысенко ВА Да Я Русский патриот и не в коем случае как Вы пишете "рашен" Кому жить , а кому умереть каждый решает САМ и способствует этому тоже САМ!
mysevra про Толкачев: Паутина противостояния [антология] (Фэнтези)
02 04 Слабенько даже по сравнению с предыдущей антологией. Оценка: неплохо
mysevra про Толкачев: Правила крови [антология] (Городское фэнтези)
02 04 Рассказы Панова понравились, остальное - на любителя. Оценка: хорошо
mysevra про Терехов: Каменный мост (Современная проза)
02 04 Была бы хорошая летопись тех времен и будней номенклатуры, если бы не "жесткая рефлексия самого героя" вместе с его беспорядочной личной жизнью. Даже хуже чем сериал, из-за которого решила прочитать книгу. Оценка: неплохо
Лысенко Владимир Андреевич про Леонтьева: Zа право жить (Современная проза, О войне)
01 04 Как всегда только мы русские можем решать, кому жить, а кому умереть. Если не по нашему то они бандеровцы. Нечитаемо, только для рашен патриотов. Оценка: нечитаемо
Paul von Sokolovski про Первый в касте бездны
31 03 Мне понравился этот сериал. Легко читается, симпатичный главгерой , чем то напомнило старую литературу для подростков. Отлично.
Gilean про Сопряжение [Астахов]
31 03 Шикарная серия, драйв нонстоп как говорится. И концовка понравилась.
RedRoses3 про Демиденко: Мастерство работы с ChatGPT 4 [полный гид для новичков и профессионалов] (Околокомпьютерная литература, Учебные пособия, самоучители)
31 03 Про ИИ надо не читать, а брать и делать
Синявский про Ален Жобер
30 03 В возрасте 84 лет скончался французский деятель культуры, известный как режиссер, писатель, актер, продюсер и переводчик — Ален Жобер. Об этом информирует портал Telerama. Жобер являлся коренным парижанином, в столице ………
dolle про Михайлов: Пепел доверия (Боевая фантастика, Социальная фантастика, Постапокалипсис, Самиздат, сетевая литература)
30 03 Продолжение в следующей книге может быть о крушении "пластмассового" мира , когда люди избавляются от всей лишней шелухи цивилизации, когда бывший офисный планктон матереет и борется за выживание в новых реалиях одновременно ……… Оценка: отлично! |
Комментарии
Отв: Вопрос к опытным линуксоидам
Помочь могу, email отправил .
Вот еще такая идейка возникла:
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 5 -j DROP
На сервере или на балансере сразу паразитный траффик упадет , так как браузер oкрывает ограниченное количество connections к серверу , к примеру IE8 oткывает 8, Firefox конечно не мелочится и может откыть и 15 , но и с 5-ю будет работать нормально. Ты не смотрел, сколько connection открывают ДДОС машины?
Но тут уже можно подобрать опытным путем.
Ещё можно изменить TCP congestion control алгоритм , скажем попробовать TCP-Vegas вместо TCP-Reno который используется по умолчанию.
Антон
Отв: Вопрос к опытным линуксоидам
К основному серверу connectionы открывают не ддос машины, а прокси. И как-то некузяво их в этом ограничивать.
Отв: Вопрос к опытным линуксоидам
Я и имел в виду использовать connlimit на прокси. Давай попробуем, мы всегда можем все вернуть в первоночальное состояние. Ну что , пишем скрипт?
Антон
Отв: Вопрос к опытным линуксоидам
connlimit не спасет, атака-то распределенная.
Да и на некоторых из proxy (которые vps) модули connlimit и recent не работают (но если и работали, особенно не помогли бы).
Отв: Вопрос к опытным линуксоидам
Вот тут очень бы помог tcpdump , чтобы увидеть сколько раз открвают порт DDOS машины. Что-то не верю я что они только окрывают 5-10 коннектов.
И ещё - интересно увидеть
cat /proc/net/ip_conntrack
с прокси.
Антон
Отв: Вопрос к опытным линуксоидам
И ещё - интересно увидеть cat /proc/net/ip_conntrack
[root@xxxxx ~]# cat /proc/net/ip_conntrack
cat: /proc/net/ip_conntrack: No such file or directory
[root@xxxxx ~]# iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 15 -j DROP
iptables: Unknown error 4294967295
[root@xxxxx ~]# uname -a
Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
[root@xxxxx ~]#
Отв: Вопрос к опытным линуксоидам
для использования connlimit ядро надо патчить. лучше hashlimit использовать. типа
iptables -A INPUT -p tcp -m tcp --dport 80 -m state --state new -m hashlimit --hashlimit 10/sec --hashlimit-burst 10 --hashlimit-mode srcip --hashlimit-name HTTP_DOS -j ACCEPT
Отв: Вопрос к опытным линуксоидам
Connlimit is in 2.6.25 , no patch needed , and server runs 2.6.25-14 , so we are ok.
Отв: Вопрос к опытным линуксоидам
> Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
так патчить или нет?
Отв: Вопрос к опытным линуксоидам
можно поподробнее как и чем досят... IMHO трудно защитить север с помощью проксей если основной адрес светится в уведомлениях о регистрации... чаще всего помогает это...
#
iptables -A INPUT -p tcp -j bad_tcp_packets
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -j allowed
#
iptables -A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j DROP
iptables -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
#
iptables -A allowed -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A allowed -p tcp -j DROP
#
могу для теста сделать прокси на основной сервер. отдам 10мегабит чисто с академическими целями... и оговоренными параметрами... вам отфильтрованный трафик мне ботсети и их хозяева?
Отв: Вопрос к опытным линуксоидам
А как можно вычислить бот-машины? IP spoofing разве не используют?
Отв: Вопрос к опытным линуксоидам
ну насчет хозяев я могу и шутить... насчет спуфинга режется он на раз. чтобы какойто вред принести надо чтобы прошло соединение SYN, SYN ACK, ACK. короче неважно вычисляется все... проще показать чем рассказать. обещаю в контент не лезть и пароли не снифирить ;) хозяину ресурса могу представиться в привате.
Отв: Вопрос к опытным линуксоидам
У некоторых провайдеров все же есть NAT (в России особенно распространено), в таких спуфинг не возможен (вернее внутри серой сети возможен, но на Либрусек все равно придет правильный src). Ну а в остальном все зависит от тех, кто в каждом конкретном случае занимается сетью... Технически способов препятствовать такому много, да и у провайдера есть своя заинтересованность в этом: ему ж еще и нужно трафик считать