Вы здесьВопрос к опытным линуксоидам
Опубликовано пт, 09/10/2009 - 11:52 пользователем larin
Кто-нибудь может помочь настроить шейпер?
|
Вход на сайтПоиск по блогам и форумамUser menuПоследние комментарии
Саша из Киева RE:Плохой, негодный файл. 14 часов
nehug@cheaphub.net RE:There is no option to read the book 1 день logusss RE:Прошу переформатировать, распознать, etc... 2 дня nehug@cheaphub.net RE:Доступ 3 дня нэнси RE:Подайте бедному копеечку на книжку с литреса... 4 дня babajga RE:Сказки без подсказки. Сборник 5 дней sibkron RE:«Уроки русского» 5 дней babajga RE:сиреневая звезда 5 дней edvud RE:Не работает регистрация и восстановление пароля 1 неделя Larisa_F RE:Грушевое дерево 1 неделя koifish RE:Оплатил абонемент, деньги списались, абонемента нет 1 неделя Саша из Киева RE:Неудавшийся священник 1 неделя babajga RE:Повесть о чудесном одуванчике 2 недели Саша из Киева RE:Ночной пассажир 2 недели larin RE:Оплатила,но абонемент не отображается 2 недели tvnic RE:Maxima-library - новый адрес 3 недели Саша из Киева RE:Хождение во власть. После путча 3 недели babajga RE:Алиса в стране чудес 3 недели Впечатления о книгах
StrelaVV про Шнейдер: Попаданка для лорда (Эротика, Любовная фантастика, Самиздат, сетевая литература)
15 05 Мне очень понравилась книга. Прелестная история попаданки получилась у автора Оценка: отлично!
дядя_Андрей про Злотников: Пощады не будет [litres] (Боевая фантастика, Попаданцы)
15 05 fуlhtq, Тамарис это остров на который в первой части попал Пушкевич. А мир называется Оокона. Но, в принципе, ты прав.
Лысенко Владимир Андреевич про Видум: Под знаком Песца [СИ] (Фэнтези, Самиздат, сетевая литература)
15 05 Читается хорошо, понравилось. Оценка: отлично!
скунс про Афанасьев: Кто ты, Такидзиро Решетников? [СИ] (Попаданцы, Самиздат, сетевая литература)
14 05 Понравилось,читать интересно Оценка: хорошо
lokiiii про Давыдов: Манящая корона [litres] (Героическая фантастика, Фэнтези)
13 05 Повелся на обложку (хотя дракон там тот ещё, но для этой книги как раз), и даже SEO аннотация не отпугнула... и зря. Тут всё настолько плохо, что даже сложно сказать что хуже. По сути, это небольшой рассказик, от силы ……… Оценка: нечитаемо
Lan2292 про Идущий по мирам
13 05 Решила написать по поводу данного произведения следующее, рояль на рояле лежит и роялем погоняет. Если не зацикливаться на этом и воспринимать как некий стеб, неплохо.
Alexx_S про Сандерсон: Рифматист [Литрес] [The Rithmatist ru] (Героическая фантастика, Детективная фантастика, Фэнтези)
13 05 Перевод ужасен, нечитаемо. Персонажи постоянно "взглядывают" - "переводчик" банально не знает значение этого слова
obivatel про Горький: Дед Архип и Лёнька (Русская классическая проза, Детская проза)
13 05 Цитата: "Прочитав в соответствующем -- т.е. в младшем школьном возрасте..." А потом нам объяснили, что всё было не так, [:голосом Новодворской с причмокиванием:] "балы-красавицы-лакеи-юнкера", и "хруст хранцускай булки"(тм), ……… Оценка: отлично!
obivatel про Ледяная принцесса
13 05 Читабельно Многобукофф -- огромный плюс. Всему циклу и каждому тому отдельно -- отлично, Очень понравилось объяснение почему политику высшего уровня противопоказано быть честнейшим и принципиальнейшим человеком (третий ………
Oleg68 про Кобен: Победитель [litres] (Триллер, Детективы: прочее)
13 05 Книга понравилась. Необычный сюжет и развязка в самом конце. Оценка: хорошо
vadim_kz про Артем Всеволодович Туров (Art)
12 05 Немного занудно но вполне читаемо, даже несмотря на ошибки орфографии.
Isais про Белов: Книга 1. Слесарь [СИ] (Боевая фантастика, Фэнтези, Постапокалипсис, Самиздат, сетевая литература)
12 05 Автора аннотации обманули -- картинка на обложке с фовизмом рядом не пробегала. Максимум, на какое художественное течение она тянет, -- примитивизм. Если вообще считать, что эта картинка относится к искусству... |
Комментарии
Отв: Вопрос к опытным линуксоидам
Помочь могу, email отправил .
Вот еще такая идейка возникла:
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 5 -j DROP
На сервере или на балансере сразу паразитный траффик упадет , так как браузер oкрывает ограниченное количество connections к серверу , к примеру IE8 oткывает 8, Firefox конечно не мелочится и может откыть и 15 , но и с 5-ю будет работать нормально. Ты не смотрел, сколько connection открывают ДДОС машины?
Но тут уже можно подобрать опытным путем.
Ещё можно изменить TCP congestion control алгоритм , скажем попробовать TCP-Vegas вместо TCP-Reno который используется по умолчанию.
Антон
Отв: Вопрос к опытным линуксоидам
К основному серверу connectionы открывают не ддос машины, а прокси. И как-то некузяво их в этом ограничивать.
Отв: Вопрос к опытным линуксоидам
Я и имел в виду использовать connlimit на прокси. Давай попробуем, мы всегда можем все вернуть в первоночальное состояние. Ну что , пишем скрипт?
Антон
Отв: Вопрос к опытным линуксоидам
connlimit не спасет, атака-то распределенная.
Да и на некоторых из proxy (которые vps) модули connlimit и recent не работают (но если и работали, особенно не помогли бы).
Отв: Вопрос к опытным линуксоидам
Вот тут очень бы помог tcpdump , чтобы увидеть сколько раз открвают порт DDOS машины. Что-то не верю я что они только окрывают 5-10 коннектов.
И ещё - интересно увидеть
cat /proc/net/ip_conntrack
с прокси.
Антон
Отв: Вопрос к опытным линуксоидам
И ещё - интересно увидеть cat /proc/net/ip_conntrack
[root@xxxxx ~]# cat /proc/net/ip_conntrack
cat: /proc/net/ip_conntrack: No such file or directory
[root@xxxxx ~]# iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 15 -j DROP
iptables: Unknown error 4294967295
[root@xxxxx ~]# uname -a
Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
[root@xxxxx ~]#
Отв: Вопрос к опытным линуксоидам
для использования connlimit ядро надо патчить. лучше hashlimit использовать. типа
iptables -A INPUT -p tcp -m tcp --dport 80 -m state --state new -m hashlimit --hashlimit 10/sec --hashlimit-burst 10 --hashlimit-mode srcip --hashlimit-name HTTP_DOS -j ACCEPT
Отв: Вопрос к опытным линуксоидам
Connlimit is in 2.6.25 , no patch needed , and server runs 2.6.25-14 , so we are ok.
Отв: Вопрос к опытным линуксоидам
> Linux xxxxx 2.6.18-128.2.1.el5.028stab064.7 #1 SMP Wed Aug 26 15:47:17 MSD 2009 i686 i686 i386 GNU/Linux
так патчить или нет?
Отв: Вопрос к опытным линуксоидам
можно поподробнее как и чем досят... IMHO трудно защитить север с помощью проксей если основной адрес светится в уведомлениях о регистрации... чаще всего помогает это...
#
iptables -A INPUT -p tcp -j bad_tcp_packets
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 80 -j allowed
#
iptables -A bad_tcp_packets -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j DROP
iptables -A bad_tcp_packets -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
#
iptables -A allowed -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A allowed -p tcp -j DROP
#
могу для теста сделать прокси на основной сервер. отдам 10мегабит чисто с академическими целями... и оговоренными параметрами... вам отфильтрованный трафик мне ботсети и их хозяева?
Отв: Вопрос к опытным линуксоидам
А как можно вычислить бот-машины? IP spoofing разве не используют?
Отв: Вопрос к опытным линуксоидам
ну насчет хозяев я могу и шутить... насчет спуфинга режется он на раз. чтобы какойто вред принести надо чтобы прошло соединение SYN, SYN ACK, ACK. короче неважно вычисляется все... проще показать чем рассказать. обещаю в контент не лезть и пароли не снифирить ;) хозяину ресурса могу представиться в привате.
Отв: Вопрос к опытным линуксоидам
У некоторых провайдеров все же есть NAT (в России особенно распространено), в таких спуфинг не возможен (вернее внутри серой сети возможен, но на Либрусек все равно придет правильный src). Ну а в остальном все зависит от тех, кто в каждом конкретном случае занимается сетью... Технически способов препятствовать такому много, да и у провайдера есть своя заинтересованность в этом: ему ж еще и нужно трафик считать