в принципе сейчас есть отличные облачные решения для защиты от ддоса, но они стоят денег, и не отменяют потребность в файрволле.
LinuxForum.Fans
Фаервол
Автор: dyasny
18 сообщений
520 просмотров
ещё одна жертва рекламы...в принципе сейчас есть отличные облачные решения для защиты от ддоса, но они стоят денег, и не отменяют потребность в файрволле.
Хозяйке на заметку: фаервол -- неотъемлемая часть _любого_ сервера на GNU/Linux. Если вам требуется какой-то другой фаервол, то значит у вас просто кривые руки, и вы не осилили настроить тот, который у вас УЖЕ есть.
Хозяйке на заметку2: серебряной пули не существует. Облака -- тоже не серебряная пуля. Это как подсолнечное масло без холестерина.
ещё одна жертва рекламы...
ну а если подумать?
Хозяйке на заметку: фаервол -- неотъемлемая часть _любого_ сервера на GNU/Linux. Если вам требуется какой-то другой фаервол, то значит у вас просто кривые руки, и вы не осилили настроить тот, который у вас УЖЕ есть.
я считаю что сервер должен делать то для чего его установили, а не обслуживать вообще все и всех. Да, я могу настроить довольно таки приличный файрволл на линуксе, могу прикрутить туда snort и clam, поднять там свой CA и прокси сервер.
Но намного проще купить устройство которое уже это все умеет делать, и настраивать сервер под СВОИ задачи.
Хозяйке на заметку2: серебряной пули не существует. Облака -- тоже не серебряная пуля. Это как подсолнечное масло без холестерина.
хозяйке на заметку 3: учимся сначала разобраться, а потом комментировать.
Простой пример - cloudflare. ДДоС это тупая попытка "закидать шапками" тот или иной сервис. Cloudflare автоматически увеличивает пул серверов отвечающих на запросы, причем в таком количестве что ни один ботнет их пока вроде не пересилил.
т.е. вы знаете команду sudo apt-get snort ? Это конечно великое колдунство. Вот только меня вы не удивили.я считаю что сервер должен делать то для чего его установили, а не обслуживать вообще все и всех. Да, я могу настроить довольно таки приличный файрволл на линуксе, могу прикрутить туда snort и clam, поднять там свой CA и прокси сервер.
Простой пример - cloudflare. ДДоС это тупая попытка "закидать шапками" тот или иной сервис. Cloudflare автоматически увеличивает пул серверов отвечающих на запросы, причем в таком количестве что ни один ботнет их пока вроде не пересилил.
для Ъ
Смешно легко безопасности
пруфлинк: https://ru.cloudflare.com/features-security
эти уродцы даже свою рекламу на нормальный язык перевести не осилили, денег не хватило на переводчика, и потому пользовались каким-то гуглотранслятором без вчитки. И вы им платите бабло за ЭТО? Тогда у меня для вас плохие новости...
хозяйке на заметку 3: учимся сначала разобраться
ага. Учитесь. Сначала разбираться. И у вас всё получится.
т.е. вы знаете команду sudo apt-get snort ? Это конечно великое колдунство. Вот только меня вы не удивили.
то есть команду я знаю, а еще я знаю когда ее не надо использовать.
для Ъ
ну не всем же быть дерЁвней
пруфлинк: https://ru.cloudflare.com/features-security
эти уродцы даже свою рекламу на нормальный язык перевести не осилили, денег не хватило на переводчика, и потому пользовались каким-то гуглотранслятором без вчитки. И вы им платите бабло за ЭТО? Тогда у меня для вас плохие новости...
нет, за перевод я им не плачу, более того, я прекрасно понимаю по английски, мне не надо искать русскоязычные переводы сайтов английских компаний.
ага. Учитесь. Сначала разбираться. И у вас всё получится.
после Вас
угу. "при ДДОСе".то есть команду я знаю, а еще я знаю когда ее не надо использовать.
ну не всем же быть дерЁвней
угу. Иные ещё умеют к первоисточнику обращаться.
я не включал специально русский язык на этом сайте, он сам включился, автоматически. Это не баг, а фича с багами. И да, я по-английски тоже немного умею, и данная фраза на английском звучит вполне нормально(Ridiculously easy security).нет, за перевод я им не плачу, более того, я прекрасно понимаю по английски, мне не надо искать русскоязычные переводы сайтов английских компаний.
Очевидно, что если они даже сайт нормальный без багов не осилили, то и их решения тоже все гнилые и кривые. Ну не умеют по-русски? Ну дык зачем делать то, что не умеешь?
после Вас
ок. С cloudflare разобрались. Вы порекомендовали дермецо. Что ещё будет?
угу. "при ДДОСе".
не вижу связи межди DDoS и использовании сервера не по назначению.
угу. Иные ещё умеют к первоисточнику обращаться.
что то я их тут не замечаю.
я не включал специально русский язык на этом сайте, он сам включился, автоматически. Это не баг, а фича с багами.
не виноватая я! (ц)
И да, я по-английски тоже немного умею, и данная фраза на английском звучит вполне нормально(Ridiculously easy security).
ну хоть с сайтом разобрались, и на том спасибо
Очевидно, что если они даже сайт нормальный без багов не осилили, то и их решения тоже все гнилые и кривые. Ну не умеют по-русски? Ну дык зачем делать то, что не умеешь?
конечно, раз на один из сотни ненужных в ИТ языков не перевели, значит ничего другого точно не умеют. По вашей логике, если я не умею пироги печь, то и колесо поменять не сумею
ок. С cloudflare разобрались. Вы порекомендовали дермецо. Что ещё будет?
серьезно? пока что ни единого довода на тему "порекомендовал дерьмецо" тут нет.
вы вообще понимаете, что такое DoS? Это и есть "использование сервера не по назначению". И заниматься защитой от него должен в первую очередь сам сервер, а уж во вторю -- какие-то "экраны".не вижу связи межди DDoS и использовании сервера не по назначению.
не виноватая я! (ц)
это многое говорит о технической грамотности авторов этого решения. Или вы полагаете, что авторы свой сайт сделать нормально не могут, а чужие защищать умеют?
ну хоть с сайтом разобрались, и на том спасибо
я, кстати, так и не нашёл, как там английский включить... А вы знаете?
конечно, раз на один из сотни ненужных в ИТ языков не перевели, значит ничего другого точно не умеют. По вашей логике, если я не умею пироги печь, то и колесо поменять не сумею
по моей логике НЕ нужно было переводить, а сделать ТОЛЬКО английскую версию. Но очевидно, только английская версия привлечёт только профессионалов, но никак не неграмотное быдло из развивающихся стран. Выводы делайте сами, если конечно вы не хотите быть этим самым "неграмотным быдлом".
И да, если вы не умеете пироги печь, то идите в магазин и купите пирог. Не надо его печь самостоятельно. Но если вы не умеете, но таки всё равно печёте, то вы -- идиот. И колесо конечно не поменяете. Не?
доводов нет, есть рекомендации.серьезно? пока что ни единого довода на тему "порекомендовал дерьмецо" тут нет.
вы вообще понимаете, что такое DoS? Это и есть "использование сервера не по назначению". И заниматься защитой от него должен в первую очередь сам сервер, а уж во вторю -- какие-то "экраны".
сервер должен обслуживать штатные запросы, для этого он существует. серьезный DDoS не выдержит ни один, даже самый настроенный сервер, со всеми возможными и невозможными на(д)стройками. один единственный файрволл тоже недолго протянет, поэтому надо, если ожидаются такие атаки, иметь возможность быстро и лего расширяться. Свой ДЦ ради разовых пиковых нагрузок держать накладно.
это многое говорит о технической грамотности авторов этого решения. Или вы полагаете, что авторы свой сайт сделать нормально не могут, а чужие защищать умеют?
полагаю. я вот тоже сайт построить смогу еле-еле, зато сервер под него настроить могу вполне прилично. Я думаю эти ребята, как и все, не строили свой сайт а заказали его какому нибудь вебдизайнеру, а те схалтурили.
я, кстати, так и не нашёл, как там английский включить... А вы знаете?
у меня все на английском :)
по моей логике НЕ нужно было переводить, а сделать ТОЛЬКО английскую версию.
вот тут полностью согласен. я еще не видел ни одного продукта в ИТ который был бы хорошо локализован, все должно быть на английском, раз уж эта отрасль на нем выросла и развилась, и те кто не хотят освоить этот язык - вон из профессии.
Выводы делайте сами, если конечно вы не хотите быть этим самым "неграмотным быдлом".
а выводов тут никаких нет - вебдизайнер схалтурил, что ничего не говорит о качестве решения которое фирма разрабатывает
И да, если вы не умеете пироги печь, то идите в магазин и купите пирог. Не надо его печь самостоятельно. Но если вы не умеете, но таки всё равно печёте, то вы -- идиот. И колесо конечно не поменяете. Не?
см. выше.
доводов нет, есть рекомендации.
то есть все написанное выше было пустобрехством? тогда давайте послушаем рекомендации, а вдруг окажется лучше
что-бы ему обслуживать штатные запросы, ему нужно и нештатные уметь как-то фильтровать. Это очевидно жеж. Или вы думаете, что злоумышленники идиоты, и в каждый вредоносный пакет маркируют специальным образом?сервер должен обслуживать штатные запросы, для этого он существует
Нет, они не идиоты. И потому вредоносные пакеты совершенно НЕОТЛИЧИМЫ от полезных. Никак. В этом ТЗ злоумышленника. ТЗ разработчика систем защиты -- уметь отличать одни от других. Это борьба брони и снаряда.
свой бункер на случай атомной войны тоже накладно держать. Но иначе в атомной войне не выжить. А вы предлагаете шапочки из фольги за $39, для защиты от ядерной атаки. А я вам объясняю, что вас обманывают.один единственный файрволл тоже недолго протянет, поэтому надо, если ожидаются такие атаки, иметь возможность быстро и лего расширяться. Свой ДЦ ради разовых пиковых нагрузок держать накладно.
полагаю. я вот тоже сайт построить смогу еле-еле, зато сервер под него настроить могу вполне прилично. Я думаю эти ребята, как и все, не строили свой сайт а заказали его какому нибудь вебдизайнеру, а те схалтурили.
раз "схалтурили", значит им мало заплатили, или вообще не заплатили. Что многое объясняет. Это явно машинный перевод, т.е. бесплатный. Т.е. -- нищебродский.
у меня все на английском
а у меня всё на русском, за исключением документации. Я могу позволить себе такую роскошь. Завидуйте.
вот тут полностью согласен. я еще не видел ни одного продукта в ИТ который был бы хорошо локализован, все должно быть на английском, раз уж эта отрасль на нем выросла и развилась, и те кто не хотят освоить этот язык - вон из профессии.
"вон из профессии" скажите не тем, кто делает плохо потому-что не умеет, а тем, кто делает плохо, потому-что не может.
И да, если хотите таки увидеть продукт, который хорошо локализован, протрите глаза, и посмотрите на Slackware Linux.
А ваш маздай -- увы и ах... Не осилили. Потому-что руки из задницы. И локализация -- это отличный детектор рукожоппия. Если её нет, то это ничего не значит, а если она таки есть, но кривая, то очевидно, что это быдлокод. Без вариантов.
вебдизайнер схалтурил, что ничего не говорит о качестве решения которое фирма разрабатывает
хм, а если вы придёте лечится к доктору, и выяснится, что он работает между двумя помойными бачками на улице? Вы будете у такого "доктора" лечится? А может он чудо-снадобье разработал?
Нет. Если-бы вправду разработал, у него была-бы своя клиника СБИШ. И не одна.
то есть все написанное выше было пустобрехством?
да.
дык давайте сначала определим, КАКОЙ сервер, КАКИЕ атаки, ОТКУДА?тогда давайте послушаем рекомендации, а вдруг окажется лучше
А "лекарство от всех болезней" как и "железный фаервол защищающий от всех атак" == пустобрёхство. Как вы и правильно написали.
что-бы ему обслуживать штатные запросы, ему нужно и нештатные уметь как-то фильтровать. Это очевидно жеж. Или вы думаете, что злоумышленники идиоты, и в каждый вредоносный пакет маркируют специальным образом?
Нет, они не идиоты. И потому вредоносные пакеты совершенно НЕОТЛИЧИМЫ от полезных. Никак. В этом ТЗ злоумышленника. ТЗ разработчика систем защиты -- уметь отличать одни от других. Это борьба брони и снаряда.
именно поэтому сервер должен получать легитимные запросы, уже обработанные системой защиты. хотя в наше просвещенное время, канал просто защищается PKI, внутри которого уже идет обычный xmlrpc или json.
борьба брони и снаряда происходит на другом уровне, и защищаемого сервера касаться не должна.
свой бункер на случай атомной войны тоже накладно держать. Но иначе в атомной войне не выжить. А вы предлагаете шапочки из фольги за $39, для защиты от ядерной атаки. А я вам объясняю, что вас обманывают.
нет, вы предлагаете мне прикрываться собственной шапочкой из фольги, и пытаетесь доказать что это лучше чем бункер - ведь она прямо на мне, а не отдельно.
раз "схалтурили", значит им мало заплатили, или вообще не заплатили. Что многое объясняет. Это явно машинный перевод, т.е. бесплатный. Т.е. -- нищебродский.
ладно, хорошо, они нищеброды. только от ddos-в хорошо защищают :)
а у меня всё на русском, за исключением документации. Я могу позволить себе такую роскошь. Завидуйте.
я бы пожалел, но вы не оцените...
"вон из профессии" скажите не тем, кто делает плохо потому-что не умеет, а тем, кто делает плохо, потому-что не может.
обязательно скажу и тем и другим
И да, если хотите таки увидеть продукт, который хорошо локализован, протрите глаза, и посмотрите на Slackware Linux.
и он наверняка идеально локализован на нескольких сотнях языков нашей планеты? а то ведь не русским единым...
А ваш маздай -- увы и ах... Не осилили. Потому-что руки из задницы. И локализация -- это отличный детектор [CENSORED]. Если её нет, то это ничего не значит, а если она таки есть, но кривая, то очевидно, что это быдлокод. Без вариантов.
наш маздай?! это каким местом?
...меня особо радует как вы умудряетесь приплести вообще никак не относящиеся к разговору вещи, и внезапно они еще и мои, и потом внезапно "без вариантов". Скажите, это у вас такой оригинальным реторический метод, или просто каша в голове?
хм, а если вы придёте лечится к доктору, и выяснится, что он работает между двумя помойными бачками на улице? Вы будете у такого "доктора" лечится? А может он чудо-снадобье разработал?
хехе, весело однако :) вы слышали о таком понятии как core business?
да.
эгей, модераторы, всю пустую брехню drBatty до этого поста можно тереть! :)
дык давайте сначала определим, КАКОЙ сервер, КАКИЕ атаки, ОТКУДА?
разговор шел о ddos. для простоты задачи можно не вдаваться, и определить некий сферический сервер в вакууме, получающий стандартные запросы по стандартному протоколу, обрабатывающий их, и возвращающий ответы. какая на самом деле разница будет это http, ftp или вообще какой нибудь REST.
сферические же атаки типа ddos, обращаются к нашему сервису очень много, очень часто и с большого количества разных адресов, с целью загрузить сервер левыми запросами до такой степени чтоб он не смог отвечать на легитимные запросы. причем у атакуещего ботнета достаточно хостов чтоб сгенерировать трафик превышающий существующий канал.
если нет возражений, расскажите мне пожалуйста, как вы обезопасите одну единственную машинку от такой атаки стандартными средствами linux
именно поэтому сервер должен получать легитимные запросы, уже обработанные системой защиты. хотя в наше просвещенное время, канал просто защищается PKI, внутри которого уже идет обычный xmlrpc или json.
вот какой бред жеж вы пишете! "Внутри PKI" может хоть plain text идти, какая разница-то? При чём тут вообще DoS? Вас валят ваши-же авторизированные клиенты внутри PKI? Или вы про что ваще? Мне так кажется, просто знакомые слова перебираете, pki, облака, фаервол... Это вы их на собеседовании перебирайте.
о да, конечно. Действительно, какое отношение защита сервера имеет к серверу?!борьба брони и снаряда происходит на другом уровне, и защищаемого сервера касаться не должна.
И конечно, левая железяка/облако лучше знает, что этому серверу нужно, а что не нужно.
я-то ещё ничего не предложил. Потому-что данных мало. Это вы предлагаете какую-то ерунду. Вот уже и до PKI с json'а дошли... Ожидаемо.нет, вы предлагаете мне прикрываться собственной шапочкой из фольги, и пытаетесь доказать что это лучше чем бункер - ведь она прямо на мне, а не отдельно.
почему-же им за это даже не донатят? Почему не нашлось никакого благодарного юзера, который найдёт и исправит ошибку?ладно, хорошо, они нищеброды. только от ddos-в хорошо защищают
я бы пожалел, но вы не оцените...а у меня всё на русском, за исключением документации. Я могу позволить себе такую роскошь. Завидуйте.
зачем меня жалеть? Разве плохо, когда система умеет работать с родным для меня языком? ЧЯДНТ?
Вы так ничего и не поняли. Есть два пути сделать хорошую ОС:и он наверняка идеально локализован на нескольких сотнях языков нашей планеты? а то ведь не русским единым...
1. Windwos way, это когда мы просто делаем хорошую систему, а потом продаём.
2. Linux way, это когда мы делаем хоть какую-то систему, и не продаём её, а выкладываем её в свободный доступ, что-бы её мог взять и допиливать кто угодно.
Так вот первый путь, это тупик. Ибо даже если продавец наймёт хороших кодеров, и они напишут всё хорошо, то условия изменяться, но продавцу намного выгоднее сделать вид, что ничего не меняется. Ну например, что "переключать раскладку удобно CTRL+ALT или CTRL+SHIFT и никак иначе. Не нравится? Учи английский, быдло!"
Конечно, второй путь тоже не идеален, но это хотя-бы не тупик. Если нет (или есть плохая) локализации, её ведь можно сделать(исправить), так? Такой ляп как на сайте может исправить любой носитель русского, для этого не нужно быть лингвистом или программистом. Для того, что-бы отправить багрепорт -- тоже (единственное, надо немного английский тоже знать).
наш маздай?! это каким местом?
именно этим. Ваша позиция -- позиция типичного пользователя Windows OS. Она ущербна и глупа. И не нужно обижаться на правду.
...меня особо радует как вы умудряетесь приплести вообще никак не относящиеся к разговору вещи, и внезапно они еще и мои, и потом внезапно "без вариантов". Скажите, это у вас такой оригинальным реторический метод, или просто каша в голове?
не, это не риторика. И не каша. Каша она у вас, ибо вы в вопросе совершенно не разбираетесь. И потому, аргументов у меня нет технических. Ибо ваши "решения" попросту бессмысленны. Сплошное деление на ноль. Что тут спорить?
вы слышали о таком понятии как core business?
нет. Вот, нагуглил: http://en.wikipedia.org/wiki/Core_business
Оно?
всю пустую брехню drBatty до этого поста можно тереть!
уже перенесли.
разговор шел о ddos. для простоты задачи можно не вдаваться, и определить некий сферический сервер в вакууме, получающий стандартные запросы по стандартному протоколу, обрабатывающий их, и возвращающий ответы. какая на самом деле разница будет это http, ftp или вообще какой нибудь REST.
разница громадная, и определяющая. Потому-что для фильтрации атаки, нужно хотя-бы знать, ЧТО атакуется. Очевидно, что ftp сервер нет никакой нужды защищать от атак по http, он этой атаки просто не увидит. Нельзя увидеть то, чего нет.
сферические же атаки типа ddos, обращаются к нашему сервису очень много, очень часто и с большого количества разных адресов, с целью загрузить сервер левыми запросами
для этого необходимо, что-бы запросы были НЕОТЛИЧИМЫ от полезных. Так и делается. И в принципе есть только один способ отличить полезный запрос от бесполезного -- его обработать. Сервером.
И если это сервер с авторизацией, то сделать это не сложно. Достаточно просто запретить авторизацию очень часто, скажем чаще, чем 1 раз в секунду. И всё. Так вы никакой сервер не завалите, даже если у вас "сервер" это старенький нетбук. Легальные пользователи этого даже не заметят, ибо никому не нужно регится чаще, чем 1 раз в секунду.
DDoS'ить можно только сервера без авторизации, а таких очень мало. Вот мне и интересно, вы про что сейчас?
если нет возражений, расскажите мне пожалуйста, как вы обезопасите одну единственную машинку от такой атаки стандартными средствами linux
сделать авторизацию. Очевидно жеж. А если вас кто-то ддосит, то его просто заблокировать. И атака захлебнётся.
Просто сам сервер помнит, какие именно IP сейчас "хорошие", и обрабатывает ТОЛЬКО запросы оттуда. Остальные IP сервер игнорирует, и обрабатывает только иногда (там может быть запрос на авторизацию, но они бывают очень редко, и обрабатывать его не нужно срочно).
вот какой бред жеж вы пишете! "Внутри PKI" может хоть plain text идти, какая разница-то? При чём тут вообще DoS? Вас валят ваши-же авторизированные клиенты внутри PKI? Или вы про что ваще? Мне так кажется, просто знакомые слова перебираете, pki, облака, фаервол... Это вы их на собеседовании перебирайте.
в том то и дело что не валят, потому что авторизированные. сервер спокойно обрабатывает информацию, защита не нужна в данном случае вообще - PKI все обеспечивает.
о да, конечно. Действительно, какое отношение защита сервера имеет к серверу?!
никакой. ну серьезно, такое ощущение что вы не слышали о решениях на более чем одной единственной железке.
И конечно, левая железяка/облако лучше знает, что этому серверу нужно, а что не нужно.
конечно. "левая железяка" это девайс заточенный именно под защиту, он ничего другого не умеет. а облако позволяет поднять еще стотыщпяццот таких же серверов, с распределенной нагрузкой, которая легко справится с любым ddos-ом. не хотите облако - читайте "распределенный CDN" - я и сам слово "облако" которое сейчас пихают куда ни попадя недолюбливаю
я-то ещё ничего не предложил. Потому-что данных мало. Это вы предлагаете какую-то ерунду. Вот уже и до PKI с json'а дошли... Ожидаемо.
то данных мало, то все ожидаемо, вы уж решите
почему-же им за это даже не донатят? Почему не нашлось никакого благодарного юзера, который найдёт и исправит ошибку?
все ждали когда же вы появитесь и спасете их от гнета неграмотных веб дизайнеров
зачем меня жалеть? Разве плохо, когда система умеет работать с родным для меня языком? ЧЯДНТ?
мне хватает разнообразия синтаксов и интерфейсов, если еще и все это на разных языках - конечно в голове будет каша
Так вот первый путь, это тупик. Ибо даже если продавец наймёт хороших кодеров, и они напишут всё хорошо, то условия изменяться, но продавцу намного выгоднее сделать вид, что ничего не меняется. Ну например, что "переключать раскладку удобно CTRL+ALT или CTRL+SHIFT и никак иначе. Не нравится? Учи английский, быдло!"
ну скажем первый путь, хоть лично мне и не по душе, но жизнеспособность свою продолжает доказывать, вендокапца все никак не видать, несмотря на постоянные глупости которые делают мелкомягкие.
Конечно, второй путь тоже не идеален, но это хотя-бы не тупик. Если нет (или есть плохая) локализации, её ведь можно сделать(исправить), так? Такой ляп как на сайте может исправить любой носитель русского, для этого не нужно быть лингвистом или программистом. Для того, что-бы отправить багрепорт -- тоже (единственное, надо немного английский тоже знать).
оки, я не вижу проблемы. вы увидели ошибку - вместо того чтоб сразу же делать из этого абсолютно нерелевантные выводы, надо было просто послать им багрепорт. корявый перевод сайта не может иметь отношение к сервису который предлагает фирма, если конечно фирма не продает локализации сайтов.
именно этим. Ваша позиция -- позиция типичного пользователя Windows OS. Она ущербна и глупа. И не нужно обижаться на правду.
а можно немного более развернуто, где тут моя позиция всплыла? я считаю что сервер должен выполнять свою задачу, а не выполнять вообще все задачи, не больше, не меньше.
не, это не риторика. И не каша. Каша она у вас, ибо вы в вопросе совершенно не разбираетесь. И потому, аргументов у меня нет технических. Ибо ваши "решения" попросту бессмысленны. Сплошное деление на ноль. Что тут спорить?
очень много букв, без единого аргумента. по существу как не было что сказать, так и не появилось. а я надеялся на адекватную дискуссию, может быть даже узнать что нибудь новое для себя, но увы...
там как то очень сжато, в основном о процессе а не о понятии. но суть тут проста - булочная должна печь булки, а не разрабатывать софт. Только очень большие и богатые фирмы держат собственных дизайнеров, а там где сайт нужно один раз написать, и раз в полгода, может быть, чего то обновить - штатный веб дизайнер не нужен.
ну а то как "красиво" хорошие программисты делают сайты и UI сами, можно увидеть в любом дистре линукса
разница громадная, и определяющая. Потому-что для фильтрации атаки, нужно хотя-бы знать, ЧТО атакуется. Очевидно, что ftp сервер нет никакой нужды защищать от атак по http, он этой атаки просто не увидит. Нельзя увидеть то, чего нет.
ну я думаю что понятно что защищаем мы сервер обслуживающий протокол Х от атак по протоколу Х, вдаваться в защиту инфраструктуры можно будет когда разберем азы, договорились?
для этого необходимо, что-бы запросы были НЕОТЛИЧИМЫ от полезных. Так и делается. И в принципе есть только один способ отличить полезный запрос от бесполезного -- его обработать. Сервером.
именно об этом я и говорю! теперь продолжаем мысль - атака идет, запросы обрабатываются, и их количество доходит до такого уровня когда сервер просто не способен принять и обработать легитимные запросы, которые просто теряются в общем потоке мусора - обработать ведь надо всех.
И если это сервер с авторизацией, то сделать это не сложно. Достаточно просто запретить авторизацию очень часто, скажем чаще, чем 1 раз в секунду. И всё. Так вы никакой сервер не завалите, даже если у вас "сервер" это старенький нетбук. Легальные пользователи этого даже не заметят, ибо никому не нужно регится чаще, чем 1 раз в секунду.
само собой, только такие серверы никто не и не ддосит напрямую, ддос обычно направлен или на открытые сервисы, вроде веб сайтов, либо на поддерживающую инфраструктуру - DNS например
сделать авторизацию. Очевидно жеж. А если вас кто-то ддосит, то его просто заблокировать. И атака захлебнётся.
интересно, вон сайт ЖЖ постоянно валят ддосами, что ж они не додумались?
Просто сам сервер помнит, какие именно IP сейчас "хорошие", и обрабатывает ТОЛЬКО запросы оттуда. Остальные IP сервер игнорирует, и обрабатывает только иногда (там может быть запрос на авторизацию, но они бывают очень редко, и обрабатывать его не нужно срочно).
чтоб "помнить" нужно принимать коннекты и сравнивать с таблицей "хороших", это уже обработка запроса, как эффективно бы эта таблица не хранилась бы.
ну скажем запустили мы какой нибудь fail2ban, но атака идет с сотни тысяч айпи, это ж ему бедняге надо каждый раз пробегаться по сотне тысяч записей в iptables чтоб сделать drop? На обработку легитимных запросов такое не повлияет? Подозреваю что очень даже.
эгей, модераторы, всю пустую брехню drBatty до этого поста можно тереть!
Да подожди, только кофе себе налил, читаю, ржу, сначала смысл хоть какой-то был... :)
... булочные, ведокопец и коребизнесс ... эта пять!
ну вот видите, как оно всё хорошо с авторизацией? А что у вас так всё плохо?в том то и дело что не валят, потому что авторизированные. сервер спокойно обрабатывает информацию, защита не нужна в данном случае вообще - PKI все обеспечивает.
какая разница, сколько железок? Сервер один, а на скольких он железках -- дело десятое. Может на этой железке ещё куча серверов?никакой. ну серьезно, такое ощущение что вы не слышали о решениях на более чем одной единственной железке.
Ну да, ещё одно модное словечко. Которое слабо относится к теме разговора. CDN-то тут причём? Да ещё и "распределённая". А бывают не распределённые? Расскажите? И то и другое конечно к сабжу не относится, но мне всё равно интересно...конечно. "левая железяка" это девайс заточенный именно под защиту, он ничего другого не умеет. а облако позволяет поднять еще стотыщпяццот таких же серверов, с распределенной нагрузкой, которая легко справится с любым ddos-ом. не хотите облако - читайте "распределенный CDN" - я и сам слово "облако" которое сейчас пихают куда ни попадя недолюбливаю
то данных мало, то все ожидаемо, вы уж решите
а я уже всё решил, проблема на вашей стороне. Это вам нужен железный фаервол.
именно об этом я и говорю! теперь продолжаем мысль - атака идет, запросы обрабатываются, и их количество доходит до такого уровня когда сервер просто не способен принять и обработать легитимные запросы, которые просто теряются в общем потоке мусора - обработать ведь надо всех.
а зачем вы обрабатываете ВСЕ запросы? Обрабатывайте не более одного нового запроса в секунду, какая разница? Атака-то у нас распределённая, а стало быть все атакующие с разными IP. А все хорошие -- с известным(серверу) IP.
я как раз им ничего не скажу, и их быдлокод юзать не стану. И другим не посоветую.все ждали когда же вы появитесь и спасете их от гнета неграмотных веб дизайнеров
у меня всё по-русски. В интерфейсах. А каша -- у вас. Раз даже ваши инструменты на неродном для вас языке. Жалеть нужно вас...мне хватает разнообразия синтаксов и интерфейсов, если еще и все это на разных языках - конечно в голове будет каша
ну то вам с вашего маздая не видать. Вы же ничего дальше своего носа. На пример вы не понимаете, что клиентские компьютеры == часть серверной инфраструктуры. Особая, но таки -- часть. И то, как работает вся сеть, зависит совсем не только и не столько от серверов. Откуда вы думаете берутся эти ваши DDoSы? Из параллельного мира? Неа, с этой вашей отмирающей венды с варезными фотошопами. Потому и умирает, ибо юзеру не нравится, что ему на нужные сайты не попасть. А не попасть потому-что блочат. А блочат потому-что юзер юзает вредоносное ПО, а юзает он потому, что не хочет платить за бесплатное. Потому-то и кормит ботнеты.ну скажем первый путь, хоть лично мне и не по душе, но жизнеспособность свою продолжает доказывать, вендокапца все никак не видать, несмотря на постоянные глупости которые делают мелкомягкие.
оки, я не вижу проблемы. вы увидели ошибку - вместо того чтоб сразу же делать из этого абсолютно нерелевантные выводы, надо было просто послать им багрепорт. корявый перевод сайта не может иметь отношение к сервису который предлагает фирма, если конечно фирма не продает локализации сайтов.
а почему Я этим должен заниматься? Я на этот развод не ведусь. Я вам объясняю, что это развод. Вы же не купите телефон Nokea? Почему? Разве от надписи он работать будет хуже? Внезапно: да, будет. Вы будете отправлять багрепорт дядюшке Ляо?
а можно немного более развернуто
очень много букв, без единого аргумента
делить на ноль нельзя.
там как то очень сжато, в основном о процессе а не о понятии. но суть тут проста - булочная должна печь булки, а не разрабатывать софт. Только очень большие и богатые фирмы держат собственных дизайнеров, а там где сайт нужно один раз написать, и раз в полгода, может быть, чего то обновить - штатный веб дизайнер не нужен.
кто говорит "нужен"? Это ваша фантазия. Достаточно зайти на сайт фрилансеров, и там любой русский студент за $10 сделает вчитку.
Да уважаемый, мы живём в 21ом веке, найти русского студента, которому нужно $10 можно не выходя из офиса в Техасе.
спрашивайте правильно. На будущее: никогда не давите собеседника непонятными вам сокращениями. Собеседнику будет либо смешно на вас, либо грустно. И относится он к вам будет плохо(в любом случае, особенно, если знает, что такое PKI)может быть даже узнать что нибудь новое для себя, но увы...
авторизация != регистрации на форуме, а тем более логину в системе. Юзеру ничего не нужно никуда вводить. А серверу достаточно просто запомнить этого юзера по каким-нибудь характеристикам. IP например (но не только конечно).само собой, только такие серверы никто не и не ддосит напрямую, ддос обычно направлен или на открытые сервисы, вроде веб сайтов, либо на поддерживающую инфраструктуру - DNS например
Что до DNS, то зачем ваш DNS обрабатывает ВСЁ и СРАЗУ? Они же иерархические, и глупо будет, если ступень иерархии не та. Такой запрос конечно тоже можно обработать, но зачем это делать сразу? Отложите, потом обработаете. Это не срочно. Или DDoS локализован внутри зоны ответственности? Какой же это тогда DDoS?
это вы не у того спрашиваете. Я откуда знаю? Спросите у тамошних админов. Причина обычно банальна -- жадность. Нагрузка слишком большая, а денег на развитие выделять не хотят.интересно, вон сайт ЖЖ постоянно валят ддосами, что ж они не додумались?
чтоб "помнить" нужно принимать коннекты и сравнивать с таблицей "хороших", это уже обработка запроса, как эффективно бы эта таблица не хранилась бы.
ну скажем запустили мы какой нибудь fail2ban, но атака идет с сотни тысяч айпи, это ж ему бедняге надо каждый раз пробегаться по сотне тысяч записей в iptables чтоб сделать drop? На обработку легитимных запросов такое не повлияет? Подозреваю что очень даже.
то, что вы понятия не имеете об алгоритмах -- я уже понял. Поясняю: поиск одного из тысяч IP занимает небольшое время, и зависит логарифмически от количества записей. Да, бытовой роутер с такой задачей может и не справится, но даже PC справится легко. Даже 15и летней PC, которому пора на помойку. Понятие "запрос" -- совсем другое. Это вот если вы заходите на вебсервер, а он специально для вас динамическую картинку создаёт, и вам отправляет. Вот это действительно долго. Или запрос к СУБД тоже долго. А проверить 10000000 IP -- не долго. Да и нет их столько. Их всего 4294967296, что даже для древнего железа -- не вопрос. Ну и не нужно столько помнить, если юзера нет N минут, про него можно забыть.
не, я про коребизнос действительно не знаю. Интересно было почитать. А ещё можно? А то в вике действительно маловато, и в духе К.О.... булочные, ведокопец и коребизнесс ... эта пять!
Спасибо. Поржал. :)
Войдите или зарегистрируйтесь, чтобы ответить.
