Присмотрел себе аппаратный фаервол http://www.nix.ru/autocatalog/networking_d_link/DLink_DFL260E_NETDEFEND_Firewall_5UTP_1000Mbps_2WAN_1DMZ_116117.html Будет ли это являться хоть какой-то защитой от ддоса? На сервере будут открыты только UDP порты. Канал 150 мб\сек.
LinuxForum.Fans
Аппаратный фаервол vs Linux firewall
Автор: Gentoos
70 сообщений
2291 просмотров
я бы смотрел на что нибудь серьезное, или ASA 5510 или хотя бы фортинет какой нибудь
ASA 5510
Зачем 5510? Вроде 5505 http://network.msk.ru/products/cisco_asa5505bunk9 будет достаточно, при наличии канала 150 мб\сек ( потолок ).
150mbps это много, с 5510 можно нарастить мощность потом, сделав кластер, а 5505 это тупик насколько я знаю.
Присмотрел себе аппаратный фаервол http://www.nix.ru/autocatalog/networkin … 16117.html Будет ли это являться хоть какой-то защитой от ддоса?
вопрос поставлен не корректно. Если ваш сервер целенаправленно ДДОСят, то вам никакой экран в принципе не поможет. Точнее поможет, но только в том случае, если ДДОС можно как-то классифицировать. Например вас ДДОСят исключительно жители Урюпинска. Вот тогда -- да, блокируем все IP Урюпинска, и ДДОС грузит только эту железяку.
Иначе -- увы. Злоумышленник делает свои пакеты неотличимыми от полезных, и их поэтому невозможно отфильтровать. Их приходится ОБРАБАТЫВАТЬ, и тратить на них ВРЕМЯ. В этом и суть ДДОСа.
PS: это никак не мешает продавать такие железки. Как и продавать лекарства от всех болезней и Библии.
[quote="Gentoos"]Присмотрел себе аппаратный фаервол http://www.nix.ru/autocatalog/networkin … 16117.html Будет ли это являться хоть какой-то защитой от ддоса?
вопрос поставлен не корректно. Если ваш сервер целенаправленно ДДОСят, то вам никакой экран в принципе не поможет. Точнее поможет, но только в том случае, если ДДОС можно как-то классифицировать. Например вас ДДОСят исключительно жители Урюпинска. Вот тогда -- да, блокируем все IP Урюпинска, и ДДОС грузит только эту железяку.
[/quote]
Нужна хоть какая-то защита от ддоса > права > отсев больших пакетов и тд
150mbps это много, с 5510 можно нарастить мощность потом, сделав кластер, а 5505 это тупик насколько я знаю.
Так у меня и трафик тупик - 150 мб сек, поэтому не вижу смысла покупать 5510 на данный момент.
Так у меня и трафик тупик - 150 мб сек, поэтому не вижу смысла покупать 5510 на данный момент.
если больше не предвидится в следующие 3-5 лет, то конечно не стоит.
[quote="Gentoos"]Так у меня и трафик тупик - 150 мб сек, поэтому не вижу смысла покупать 5510 на данный момент.
если больше не предвидится в следующие 3-5 лет, то конечно не стоит.[/quote]
За 3-5 лет уже все оборудование поменяется. Сейчас главное стартап )
Собственно спасибо за помощь.
ИМХО правильно настроенный сервер может самостоятельно выдержать большинство DDoS'ов. ДА и нужно этот DDoS "заслужить". Сделать какую-нить гадость кому то. Иначе вас никто не будет DDoS'ить. Это денег стоит. И не малых.За 3-5 лет уже все оборудование поменяется. Сейчас главное стартап
Т.ч. я-бы рекомендовал сначала настроить нормально сервер, а уж потом, если надо будет, купите фаервол. Я не говорю, что он не нужен, я не знаю. За то знаю, что нужен он далеко не всем.
ИМХО правильно настроенный сервер может самостоятельно выдержать большинство DDoS'ов. ДА и нужно этот DDoS "заслужить". Сделать какую-нить гадость кому то.[quote="Gentoos"]За 3-5 лет уже все оборудование поменяется. Сейчас главное стартап
Т.ч. я-бы рекомендовал сначала настроить нормально сервер, а уж потом, если надо будет, купите фаервол. Я не говорю, что он не нужен, я не знаю. За то знаю, что нужен он далеко не всем.[/quote]
Аппарат ловит > iptables добивает = профит.
Ну почему сразу заслужить... Есть люди, которые валят без "заслуг". Топовые проекты например или конкурентов.
Иначе вас никто не будет DDoS'ить. Это денег стоит. И не малых.У многих есть свои ботнеты. Так что ддос сейчас не новшество.
Вообще я планирую сделать так:
Циско - обрабатывает трафик, все, что останется - будут добивать серверы
Основная машина с линуксом > iptables > не полный фильтр
Машина с windows > outpost firewall (по словам разработчиков анализирует аномалии + защиты от некоторых видов атак) > собираем логи\дампы с помощью outpost > обращаемся к iptables > айпишники злоумышленников заносим в бан.
Или баян?
дык в железке тот же линукс с той же iptables. И смысл?Аппарат ловит > iptables добивает = профит.
Ну почему сразу заслужить... Есть люди, которые валят без "заслуг". Топовые проекты например или конкурентов.
выбраться в топ и задавить конкурентов -- тоже заслуга, и не малая. Да, это заслуга не программиста, но и не программисты пишут вредоносный код.
У многих есть свои ботнеты. Так что ддос сейчас не новшество.
не новшество. Это тоже бизнес. Это не удел каких то "сумеречных гениев", это просто бизнес. А ботнет -- это продукт данного бизнеса, он продаётся и покупается оптом и в розницу. Это паразитизм. Лучшее средство от паразитов -- профилактика, профилактика, и ещё раз профилактика.
В контексте данной темы, могу предложить только авторизацию клиентов, это даёт эффект. Костыли вроде iptables(и железные тоже) конечно помогают, но... Костыли жеж...
дык в железке тот же линукс с той же iptables. И смысл?
Если бы iptables решал все вопросы, то датацентры не покупали бы аппаратные фаерволы. У CISCO явно больше возможностей
+ Iptables - нагрузка. А если Iptables совместить с Cisco, то можно будет решить большинство проблем.
Если бы iptables решал все вопросы, то датацентры не покупали бы аппаратные фаерволы. У CISCO явно больше возможностей
+ Iptables - нагрузка. А если Iptables совместить с Cisco, то можно будет решить большинство проблем.
не надо спорить, он все равно не способен понять.
не надо спорить, он все равно не способен понять.
Предположим даже так.
А как же нагрузка от "пачки" правил? Не проще ли это сделать на уровне циско? А все, что нельзя сделать на циско (вроде как стринга нет), то реализуем на Iptables.
Конкретных аргументов я не увидел в плане сравнения cisco и iptables, хотя тут все очевидно.
Предположим даже так.
А как же нагрузка от "пачки" правил? Не проще ли это сделать на уровне циско? А все, что нельзя сделать на циско (вроде как стринга нет), то реализуем на Iptables.
Конкретных аргументов я не увидел в плане сравнения cisco и iptables, хотя тут все очевидно.
так я и не спорю, и тоже считаю что у каждого девайса в нормальном датацентре должна быть своя функция, желательно одна, и очень желательно - как раз та для которой девайс и был создан. И я пока еще не видел ни единого серьезного датацентра (а видел, планировал и поднимал я их достаточно), где использовались бы простые линукс серверы как файрволлы на периметре
(а видел, планировал и поднимал я их достаточно)
Нужно было с этого начинать. :)
К сожалению я мечу в производительность, поэтому только Iptables не для меня. Поэтому придется по максимуму выжимать с Cisco и что не получится из Iptables.
ДЦ физически не могут грамотно настроить фаервол каждому клиенту под ЕГО нужды. Потому, они вынужденны покупать железный фаервол.Если бы iptables решал все вопросы, то датацентры не покупали бы аппаратные фаерволы. У CISCO явно больше возможностей
+ Iptables - нагрузка. А если Iptables совместить с Cisco, то можно будет решить большинство проблем.
Ну грубо говоря, имеем Over9000 кульцхацкеров, поднявших каждый по своему уютному форуму на своих VPS'ках. ВНЕЗАПНО, на одном из серверов выкладывают какое-нибудь видео, вроде заживо сожжённого кота. Сразу идут две волны навстречу друг-другу. Точнее одна -- тонны ненависти. Форум становится популярным, и на одного кульцхацкера(удачного, который с котом) натравливают ботнет, какой-то самый грамотный(или богатый) из Over9000 неудачников.
Фишка в том, что страдают ВСЕ. Ручками мониторить это можно, но не эффективно. Мониторят не ручками, а железякой. Вынужденная мера...
А возможностей у циски неизмеримо меньше... Но в данном случае ей проще, она просто тот хост может тупо прибить, что с жжёным котом. Атака-то на него. Причём сделать она это может СРАЗУ. В итоге, рухнет только VPSка с котом. Сама виновата, нельзя над котами издеваться ;)
а вы видели, что там ВНУТРИ вашего фаервола?так я и не спорю, и тоже считаю что у каждого девайса в нормальном датацентре должна быть своя функция, желательно одна, и очень желательно - как раз та для которой девайс и был создан. И я пока еще не видел ни единого серьезного датацентра (а видел, планировал и поднимал я их достаточно), где использовались бы простые линукс серверы как файрволлы на периметре
Думаете, там неонка?
Войдите или зарегистрируйтесь, чтобы ответить.
