Перейти до

Атака дос чи не дос по певному порту


Рекомендованные сообщения

Добрий вечір форумчанам, є питання яке час від часу мучить сервер і не дає клієнтам бути щасливими.

 

Сервер на freebsd + ubilling на борту, NAS тут же, інколи (раз в пів року або декілька разів на тиждень) "вішається" ну в сенсі не з кінцями, а до того моменту поки з нього не відключити інтернет.

Відповідно коли таке стається фаєрволом блокуємо діапазон портів, який звужуємо методом виключення, або при можливості ідентифікуємо порт через trafshow 2018-10-18_205403.png.c5f6fcc7a8a81ba176ff232a2c111ebf.png

наприклад в цьому випадку заблокували 61855 сервер ожив, життя прекрасне.

 

Так от питання хто і як з цим бореться? Настройка BSD чи вище стоячого маршрутизатора/комутатора ?

Ссылка на сообщение
Поделиться на других сайтах
46 минут назад, MazaXaka сказал:

Добрий вечір форумчанам, є питання яке час від часу мучить сервер і не дає клієнтам бути щасливими.

 

Сервер на freebsd + ubilling на борту, NAS тут же, інколи (раз в пів року або декілька разів на тиждень) "вішається" ну в сенсі не з кінцями, а до того моменту поки з нього не відключити інтернет.

Відповідно коли таке стається фаєрволом блокуємо діапазон портів, який звужуємо методом виключення, або при можливості ідентифікуємо порт через trafshow 2018-10-18_205403.png.c5f6fcc7a8a81ba176ff232a2c111ebf.png

наприклад в цьому випадку заблокували 61855 сервер ожив, життя прекрасне.

 

Так от питання хто і як з цим бореться? Настройка BSD чи вище стоячого маршрутизатора/комутатора ?

deny_in ищите темы на форуме не раз обсуждали.

Ссылка на сообщение
Поделиться на других сайтах
30 минут назад, pavlabor сказал:

Покажи правило ipfw объявления номера ната.

nat 11 config log ip 2.2.2.2 reset same_ports

якось  так..

потім table 80 add 2.2.2.2 11

ну і add 5551 nat tablearg ip from any to table\(80\) via ${WAN_IF} in

Ссылка на сообщение
Поделиться на других сайтах
15 минут назад, MazaXaka сказал:

nat 11 config log ip 2.2.2.2 reset same_ports

измени на

nat 11 config log ip 2.2.2.2 reset same_ports deny_in

и будет счастье твоим клиентам

Ссылка на сообщение
Поделиться на других сайтах
15 минут назад, KaYot сказал:

Т.е. BSD настолько рогатое из коробки что по умолчанию не дропает чужие пакеты?)))

А здесь подробнее, пжл

Что значит дропает чужие?

Ссылка на сообщение
Поделиться на других сайтах
10 минут назад, Kiano сказал:

А здесь подробнее, пжл

Что значит дропает чужие?

Дропать трафик который пришел на нат ипишки, которого нет в таблице стейтов.

Но нихера, линукс тоже не дропает если ничего не делать.

Ссылка на сообщение
Поделиться на других сайтах
26 минут назад, l1ght сказал:

Дропать трафик который пришел на нат ипишки, которого нет в таблице стейтов.

Но нихера, линукс тоже не дропает если ничего не делать.

Дык, для того, чтобы понять, нужен этот трафик или нет, его в любом случае нужно анализировать

Ссылка на сообщение
Поделиться на других сайтах
8 часов назад, l1ght сказал:

Дропать трафик который пришел на нат ипишки, которого нет в таблице стейтов.

Но нихера, линукс тоже не дропает если ничего не делать.

Это случаем не то самое, что в микротиках зовётся connection state = invalid?

Сколько раз читал, там настоятельно советуют в фаерволе запрещать эти инвалиды везде на всех интерфейсах.

Но получается 2 лишних правила, да и без этих правил работает вроде как нормально.

Ссылка на сообщение
Поделиться на других сайтах
3 часа назад, Туйон сказал:

Это случаем не то самое, что в микротиках зовётся connection state = invalid?

Сколько раз читал, там настоятельно советуют в фаерволе запрещать эти инвалиды везде на всех интерфейсах.

Но получается 2 лишних правила, да и без этих правил работает вроде как нормально.

Ну вот пусть Кайот отвечает, это он вброс сделал)))

Ссылка на сообщение
Поделиться на других сайтах
16 часов назад, pavlabor сказал:

nat 11 config log ip 2.2.2.2 reset deny_in

 

так же стоит убрать same_ports

Детали тут: http://www.major12.net/2014/05/high-cpu-load-with-freebsd-ipfw-nat.html

 

еще одно слабое место ipfw nat это redirect_address - если есть хотя-бы сотня таких трансляций и кто-то запустит интенсивное сканирование на этот диапазон, то 100% CPU гарантирован :(

Ссылка на сообщение
Поделиться на других сайтах

Когда поставишь deny_in - не забудь выше прописать разрешающие правила для доступа к серверу, если у тебя один айпи

Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • Від mac
      Глюк в тому, що один (так - тільки один) mac адрес onu існує в білінгу у вигляді строки. Це трохи заважає.
      olt - bdcom gepon.
      Наскільки зрозумів, це виключно проблема реалізації snmpwalk у freebsd, де snmpwalk може на свій розсуд віддати mac адресу не як hex-string, а як звичайний string.
      Можливо snmpwalk тригериться на якомусь символі, мені невідомо.
       
      # tcpdump -vv -i em0 udp port 161 and host olt and host ub | grep "3320.101.10.4.1.1.241 ... olt.snmp > ub.47940: [udp sum ok] { SNMPv2c C="*****" { GetResponse(44) R=93278354 E:3320.101.10.4.1.1.241="8LO"W*" } } ub.47940 > olt.snmp: [udp sum ok] { SNMPv2c C="*****" { GetNextRequest(34) R=93278355 E:3320.101.10.4.1.1.241 } } snmpwalk -c***** -v2c -t5 olt .1.3.6.1.4.1.3320.101.10.4.1.1 SNMPv2-SMI::enterprises.3320.101.10.4.1.1.241 = STRING: "8LO\"W*" snmpwalk -Ox -c***** -v2c -t5 olt .1.3.6.1.4.1.3320.101.10.4.1.1 SNMPv2-SMI::enterprises.3320.101.10.4.1.1.241 = Hex-STRING: 38 4C 4F 22 57 2A  
      Це стосується таких параметрів у snmp конфізі bdcom
       
      [signal] MACINDEX=".1.3.6.1.4.1.3320.101.10.4.1.1" [misc] ONUINDEX=".1.3.6.1.4.1.3320.101.11.1.1.3"  
      За для усунення глюку спробував трошки змінити код і завдати тип snmp параметру явно у ./api/libs/api.ponbdcom.php у function collect()
      Це працює. Мабуть станеться у нагоді:
       
      # diff api.ponbdcom.php{.new,.bak} 37c37 < $onuIndex = $this->snmp->walk('-Ox ' . $oltIp . ':' . self::SNMPPORT, $oltCommunity, $onuIndexOid, self::SNMPCACHE); --- > $onuIndex = $this->snmp->walk($oltIp . ':' . self::SNMPPORT, $oltCommunity, $onuIndexOid, self::SNMPCACHE); 91c91 < $macIndex = $this->snmp->walk('-Ox ' . $oltIp . ':' . self::SNMPPORT, $oltCommunity, $macIndexOID, self::SNMPCACHE); --- > $macIndex = $this->snmp->walk($oltIp . ':' . self::SNMPPORT, $oltCommunity, $macIndexOID, self::SNMPCACHE);  
      P.S. Створив тему, а зараз міркую: а може це глюк у ПЗ olt. Оновлю фірмваре olt та перевірю...
       

    • Від a_n_h
      Всем доброго дня и мирного неба!
        После многочисленных экспериментов выяснил, что на последних версиях freebsd  максимум удавалось прокачать до 14 ГБт суммарно трафика со 100% загрузкой процессора. На том-же железе но с установленной freebsd 11.2 прокачивается до 20-ти ГБт суммарно тестового трафика с загрузкой процессора около 50%. 
        Подскажите, что можно убрать или наоборот добавить в систему с freebsd 13,3 для получения аналогичного результата...
    • Від mac
      Здається, після оновлення PHP 7.4 до PHP 8.2 feesharvester припинив працювати:
       
      /usr/local/bin/curl "http://127.0.0.1/billing/?module=remoteapi&key={SERIAL}&action=feesharvester" <br /> <b>Fatal error</b>: Uncaught TypeError: Unsupported operand types: string - string in {UBPATH}/billing/api/libs/api.fundsflow.php:570 Stack trace: #0 {UBPATH}/billing/modules/remoteapi/feesharvester.php(22): FundsFlow-&gt;harvestFees('2024-01') ...  
      Невеличке розслідування врешті з'ясувало, що це через наявність пробілу у деяких логінах абонентів. Як так сталося? Тому що інколи був неуважно додан трейлінг пробіл до номеру будинка і цей пробіл потрапив до логіну абоненту. Логін абоненту неможливо змінити ніяким чином штатними засобами. Я не розглядаю створення нового абонента для усунення помілки.

      Був обран такий шлях вирішення проблеми. Заміну функції php explode() знайшов у мережі. Мабуть це станеться в нагоді:

       
      diff api.fundsflow.php.bak api.fundsflow.php.new 559c559 < $eachfee = explode(' ', $eachline); --- > $eachfee = preg_split("~(?<!\\\\)(?:\\\\{2})*'[^'\\\\]*(?:\\\\.[^'\\\\]*)*'(*SKIP)(*F)|\s+~s" , $eachline);  
    • Від FantoM_EscapE
      Хочу перенести свій білінг NODENY із фізичного сервера на віртуальний. Шукаю адміна який зможе допомогти у цьому питанні, так як нашого адміна банально призвали до війська. Вся схема на даний момент робоча, маю доступи до всього. Потрібно проінсталити на новішу версію FREEBSD, бо на моїй 10 річній вже не працюють нові SSL сертифікати. Кого зацікавила дана пропозиція - прошу у приватні повідомлення. обсудимо ціну і строки. або пишіть на будь-який месенджер 0677792091
    • Від zabiyako
      Блокуєм:
       
      TCP-порти 21, 80, 3128, 1080, 8080, UDP-порти 53, 1434 − у напрямку до Абонентів,
      TCP-порти 25, 135-139, 445, 543 UDP-порти 135-139 − для всіх Абонентів у всіх напрямках.)
       
      Для среднестатистического ISP этого вполне достаточно имхо...
×
×
  • Створити нове...