Новая тема   Ответить

 High_Contrast
##################################################
# Лимит на 20 запросов в секунду для интерфейса eth1
iptables --new-chain lim1
iptables --insert OUTPUT 1 -p tcp --destination-port 80 -o eth1 --jump lim1
iptables --append lim1-m limit --limit 20/sec --jump RETURN
iptables --append lim1--jump DROP
# Максимум 10 одновременных соединений с одного IP
iptables -A INPUT-p tcp --dport 80 -m iplimit --iplimit-above 10 -j REJECT
# Блокировка более 10 SYN
sbin/iptables -I INPUT -p tcp --syn --dport 80 -j DROP -m iplimit --iplimit-above 10
# 20 соединений на сеть класса С
iptables -p tcp --dport 80 -m iplimit --iplimit-above 20 --iplimit-mask 24 -j REJECT
##################################################


Что еще можно сделать?

 Pentarh
разрешить только рабочие порты
добавить свои айпи в ACCEPT
соединения established,realted -> ACCEPT
сделать политику iptables -P INPUT DROP

а дальше от конкретного случая зависит.

если http ddos, то создается цепочка BAN, парсится access_log периодически и если там, к примеру, 60 хитов с айпи за 10 секунд -> BAN

 ibiz
Pentarh писал:

к примеру, если тумбы с сиджа грузанутся разом за 10 сек, то BAN?

 Pentarh
Вообще я ставлю access_log на location с пхп скриптами, где нет тумб.

И опять же, все зависит от конкретной ситуации. Логику отсечения ботнета надо разрабатывать, зная характер трафика, я просто привел пример.

Еще надо выключить keep-alive в веб сервере, уменьшить таймаут ответа, затюнить сетевой стек при помощи sysctl. К примеру, ip_conntrack_max точно надо увеличить хотя бы до 300k, иначе файрволу не хватит памяти и он будет дропать пакеты и дико ругаться в dmesg. Ну и сам dmesg часто подсказывает чего надо подтюнить.

 vx6
Можно ещё защититься от сканирования сети пингом
iptables -A INPUT -p icmp --icmp-type echo-request -m length --length 128 -j ACCEPT
iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j DROP

После этого , ваш сервер перестанет отвечать на пинг любыми пакетами , кроме пакетов длинной 100 байт. Размер пакета можно выбрать произвольно.
Для винды пинг будет иметь такой вид ping domain.tld -l 100

 High_Contrast
Na serveri u menia blog wordpress (10K daily traffa) and Ejabberd iesli shto.

Цитата:

Imeet li smisl pereehat s VDS na dedic? ili odin iuh for antiddos?

 Pentarh
для антиддоса нужно много памяти

 PornoMich
для антиддоса нужна циска железная и дорогая, всё остальное фуфло

 Pentarh
Ага, и много памяти ) А чувак тут на вдске решил ддос отбить