Собрать 40Gbps на DL560 4x E5-4650 V2 + pfSense

[Bogdan.Lukashov 2]

Мне интересно теоретически разобраться в пакетах и мощностях CPU/сетевухи считается ли решение колхозом, и в чем преимущества дорогих джуниперов экранов. 

[l1ght 377]

4 минуты назад, Bogdan.Lukashov сказал:

8М = упирается в 8Гб памяти, я так понимаю 

States

Connections

стейтфул фаервол сделает обработку трафика ещё медленее за счет хранения стейтов и на каждый пакет заглядывания в эту таблицу

и чем больше она, тем всё хуже

 

цифры просто абы какие, увидел зависимость 8м = 8гб и поверил в нее, не так это считается от слова совсем

[LOXUA 20]

Только что, Bogdan.Lukashov сказал:

Мне интересно теоретически разобраться в пакетах и мощностях CPU/сетевухи считается ли решение колхозом, и в чем преимущества дорогих джуниперов экранов. 

Плюсов нет совсем. Любая крутая защита ТОЛЬКО на x86. Джун разве что под блок удп годится.

[l1ght 377]

бляха, хоть в ютубе про очистку трафика, ддос митигейшн и прочие вещи поищи

[LOXUA 20]

4 минуты назад, l1ght сказал:

бляха, хоть в ютубе про очистку трафика, ддос митигейшн и прочие вещи поищи

Для чего бесполезная прослойка в виде джуна нужна?
В сервер воткнул опту, анонснул бгп, защиту подрубил - тупо дропнул удп на прероуте или аплинке, для сина - синкуки включил и забываешь о ддосах
Для синкуки 40мппс это смех

Почитай пример https://beget.com/ru/articles/syncookied

[masters 126]

7 минут назад, LOXUA сказал:

Ого правила на блок спуфа? Научишь?
Как надо было изнасиловать серв чтобы он на 2мппс умирал

https://www.juniper.net/documentation/en_US/junos/topics/example/port-security-protect-from-arp-spoofing.html - подойдет? 

А Вы покажите больший pps на линуксе.

[LOXUA 20]

Только что, masters сказал:

https://www.juniper.net/documentation/en_US/junos/topics/example/port-security-protect-from-arp-spoofing.html - подойдет? 

А Вы покажите больший pps на линуксе.

Так это защита от атак внутри сети, видно уровень твоих знаний

1 минуту назад, masters сказал:

https://www.juniper.net/documentation/en_US/junos/topics/example/port-security-protect-from-arp-spoofing.html - подойдет? 

А Вы покажите больший pps на линуксе.

https://beget.com/ru/articles/syncookied

Нагрузка, создаваемая фильтрацией трафика 12.755pps (теоретический предел при размере пакета 74 байта + 4 байта заголовок ethernet)
Фактически 10 ядер процессора Intel Xeon E5-2680v3 могут обрабатывать до 10 гигабит трафика. Один физический сервер способен обрабатывать более 40 гигабит трафика.

Тот серв что у автора при нормальном тюнинге 40+mpps пережует как нефиг делать

[masters 126]

3 минуты назад, LOXUA сказал:

Так это защита от атак внутри сети, видно уровень твоих знан

Видно Ваш уровень знаний, судя по чуши - которую пишете. Видно что атак Вы и в глаза не видели. 

По поводу спуфинга - какой вопрос, такой и ответ. Снаружи, изнутри, arp, ip? У нас в ДЦ изнутри он чаще даже встречается, чем снаружи. 

[LOXUA 20]

5 минут назад, masters сказал:

Видно Ваш уровень знаний, судя по чуши - которую пишете. Видно что атак Вы и в глаза не видели. 

По поводу спуфинга - какой вопрос, такой и ответ. Снаружи, изнутри, arp, ip? У нас в ДЦ изнутри он чаще даже встречается, чем снаружи. 

Видно уровень дц, помойка которую берут школьники чтобы поддосить с неё и никто в здравом уме не ставит свои проекты а то в бекхол сразу улетит
Так расскажи как на джуне заблокировать спуф который снаружи идет тогда

Відредаговано 2020-04-16 21:11:12 LOXUA

[l1ght 377]

3 минуты назад, masters сказал:

По поводу спуфинга

urpf (и любые другие названия, суть то та же) везде и всюду спас бы от внешних спуфингов, но к сожалению это утопия и если его внедрили хотя бы 10% операторов то это уже победа

12 минут назад, LOXUA сказал:

Фактически 10 ядер процессора Intel Xeon E5-2680v3 могут обрабатывать до 10 гигабит трафика

это всё зависит от того как глубоко надо пакет анализировать и от количества правил, можно передать привет линейной обработке правил в фаерволах классических

[masters 126]

8 часов назад, Bogdan.Lukashov сказал:

 

что за тазик был и что за сетевуха?

2 Xeon e5-4620 v4

Сетевухи Intel x520 в транке

По https://www.andrisoft.com/software/wanguard

7 часов назад, LOXUA сказал:

Так расскажи как на джуне заблокировать спуф который снаружи идет тогда

По сигнатуре например.

Відредаговано 2020-04-17 05:05:11 masters

[pavlabor 1 949]

7 часов назад, Bogdan.Lukashov сказав:

Мне интересно теоретически разобраться в пакетах и мощностях CPU/сетевухи считается ли решение колхозом, и в чем преимущества дорогих джуниперов экранов. 

 

В большинстве случаев DDOS убивает внешние КАНАЛЫ, потом ИНОГДА падает железо.

Фиксится не фильтрами, а вганянием IP под DDOS-ом в BGP blackhole (собственно он ничем больше и не лечится).

Идея "40 гиг наверно выдержит" не совсем верная.

DDOS стоит копейки и если "кому то нужно", он купит DDOS на 200гиг и 100% положит твою сороковочку.

 

Система которую ты проектируешь, может зачищать трафик, интересна чисто теоретически.

Например, у конторы загрузка 200 мегабит, после зачистки остается 60.

Да это прикольно - где деньги Зин?

Зачистка интересна на внешней части, "у кого то", пусть он платит за каналы и тратит расчетные ресурсы, но таких дураков нет, а те кто это предоставляют, там 100 мегабит стоит десять чтук гривастых.

И эти 10 штук не "просто так", они идут на покрытие издержек.

 

Навесить на себя издержки, подарить клиенту стерильную соточку за бычок, ну тут на любителя.

В большинстве случаев пользователь этих потуг даже не оценит, клиент и покупает 200 мегабит, именно потому что его, его же вирусы и достали, но "фиксить это дороже и не факт что поможет".

 

 

Відредаговано 2020-04-17 04:28:38 pavlabor

[masters 126]

1 час назад, pavlabor сказал:

Фиксится не фильтрами, а вганянием IP под DDOS-ом в BGP blackhole (собственно он ничем больше и не лечится).

Гуманней - flowspec, чем тоже пользуемся - если наших ресурсов (каналов) уже не хватает. Но аплинки часто за него хотят денег.

[pavlabor 1 949]

3 минуты назад, masters сказав:

Гуманней - flowspec, чем тоже пользуемся - если наших ресурсов (каналов) уже не хватает. Но аплинки часто за него хотят денег.

 

Ну дык и я о том...

1 час назад, pavlabor сказав:

Зачистка интересна на внешней части, "у кого то", пусть он платит за каналы и тратит расчетные ресурсы, но таких дураков нет, а те кто это предоставляют, там 100 мегабит стоит десять чтук гривастых.

 

А чел хочет это соорудить, чтобы не парицца и

1 час назад, pavlabor сказав:

Навесить на себя издержки, подарить клиенту стерильную соточку за бычок, ну тут на любителя.

 

Возможно я ошибаюсь и он выставить клиентам ценник, но это не реально в разрезе текущей конкуренции.

Такая практика сто пудов появится..., лет так через 5-10, но она должна пойти массово у всех провов.

[Stalker1 140]

12 часов назад, masters сказал:

Вы как никогда правы, под антиддос сервак не годится. Ох и не любят они большой pps. Его можно даже гигабитом трафика мелкими пакетами убить в хлам.

От школьников - может немного и поможет, а от средних атак - уже нет. 

Мне нравится когда человек ни когда не видел и не тестировал оборудование, и орет о каком то pps

[masters 126]

2 часа назад, deltatelecom сказал:

Мне нравится когда человек ни когда не видел и не тестировал оборудование, и орет о каком то pps

Выше писал, на чем мы работали. Для наших атак - не подошел.

Достаточно убедительно?

[KaYot 3 710]

26 минут назад, masters сказал:

Достаточно убедительно?

Это он про лоха.

[foreverok 95]

хз, смотря что и от кого Вы собираетесь защищать. 

Моя практика показывает, что основная масса атак идет UDP/ICMP или другие проколы, от 1 до 2 Гбит/с. Тупо забивают канал.

Но попадаются атаки и пожирнее, например одна из последних 48Mpps и 220Gbps. Такую уж точно не выйдет отбить на тазике с сеткой в 40Гбит.

 

Відредаговано 2020-04-17 15:13:25 foreverok

[Bogdan.Lukashov 2]

Поправьте меня если я не прав, а то тут все говорят уже от сотнях гб атаках.

 

DDoS начинается всегда с прощупивания сервера, если фаервол вовремя отрежет забекхолит пару подсетей откуда валит ддос, он не будет нарастать ведь.

 

Другими словами при обнаружение аномального трафика скажем с китайской подсети мы отрезаем весь Китай ддос будет угасать моментально т/е даже если там 100Гб атака но пустили 20Гб первых мы порезали дальше могут они даже не пускать ддос он будет бесполезен, так как все подсети Китая будут в бане.

 

Зачем тогда держать syn флуд сотнями гигбит? вот на счет UDP согласен могут влупить с подменой DNS Amplification но тоже вроде решается закрытием UDP, ICMP.

 

Меня интересует webfiltering больше сейча ботнеты и порезка подсетей или даже стран Firewall. Помню мы отрезали у Serverius просто тупо страны галочками и ддос был неэффективен. Да там стоял Huawei Firewall аппартаный (но опять же в любом фаерволе стоит линукс, или фрии. и софт) вопрос теперь на сколько софт там удобный для фильтрации и умный. А железку можно в красивую обложку завернуть любой везде ведь CPU/Memory/NVMe или еще что то быстрое стоит. 

 

Я хочу только сравнить серваки мощные с камнями с этими железками. В чем разница брат?   50k стоит фаервол супер пупер с платами в пол шкафа, или сервак в пределах 5к мощности и E7 CPU v4 на 4 камня или 8 камней такой что в NASA используют для запуска ракет ) На AI интелект хватит. суперкомпьютера.)

Чем он хуже красивого Джуна, Кошечки класа бизнеса. 

[Bogdan.Lukashov 2]

Если конечно денег в ж жуй, то можно и такие железки прикупить. 

[pavlabor 1 949]

59 минут назад, Bogdan.Lukashov сказав:

Поправьте меня если я не прав, а то тут все говорят уже от сотнях гб атаках.

 

DDoS начинается всегда с прощупивания сервера, если фаервол вовремя отрежет забекхолит пару подсетей откуда валит ддос, он не будет нарастать ведь.

 

Другими словами при обнаружение аномального трафика скажем с китайской подсети мы отрезаем весь Китай ддос будет угасать моментально т/е даже если там 100Гб атака но пустили 20Гб первых мы порезали дальше могут они даже не пускать ддос он будет бесполезен, так как все подсети Китая будут в бане.

 

Зачем тогда держать syn флуд сотнями гигбит? вот на счет UDP согласен могут влупить с подменой DNS Amplification но тоже вроде решается закрытием UDP, ICMP.

 

Меня интересует webfiltering больше сейча ботнеты и порезка подсетей или даже стран Firewall. Помню мы отрезали у Serverius просто тупо страны галочками и ддос был неэффективен. Да там стоял Huawei Firewall аппартаный (но опять же в любом фаерволе стоит линукс, или фрии. и софт) вопрос теперь на сколько софт там удобный для фильтрации и умный. А железку можно в красивую обложку завернуть любой везде ведь CPU/Memory/NVMe или еще что то быстрое стоит. 

 

Я хочу только сравнить серваки мощные с камнями с этими железками. В чем разница брат?   50k стоит фаервол супер пупер с платами в пол шкафа, или сервак в пределах 5к мощности и E7 CPU v4 на 4 камня или 8 камней такой что в NASA используют для запуска ракет ) На AI интелект хватит. суперкомпьютера.)

Чем он хуже красивого Джуна, Кошечки класа бизнеса. 

 

А каким способом ты собираешься "мы отрезаем весь Китай"?

И сколько стоит сервак "DL560 4x E5-4650 V2", можешь ссылку бросить?

[NaviNavi 86]

13 минут назад, pavlabor сказал:

 

А каким способом ты собираешься "мы отрезаем весь Китай"?

И сколько стоит сервак "DL560 4x E5-4650 V2", можешь ссылку бросить?

Тут можно собрать https://server-shop.ua/server-hp-proliant-dl-560-g8-5x25-sff-srv31.html?product_options=msal_6531%2Cmsal_6703%2Cmsal_6549%2Cmsal_6159%2Cmsal_6219%2Cmsal_6381%2Cmsal_6304%2C

[pavlabor 1 949]

В 16.04.2020 в 5:13 PM, Bogdan.Lukashov сказав:

У меня вопрос к сисадминам, хотим реализовать 40Gbps Firewall на мощном серваке на 40 ядер + 40 потоков итого 80 CPU.   

DL560 G8 4x E5-4650 V2 + 192Gb DDR + NVMe. + 40Gbps карту 2х портовую поставить посвежее. 

 

Шо то не сходится, тут 8 ядер по 3.30 GHz, цена за проц "Recommended Customer Price $2108.00"

Не факт но слышал, что такого класса серваки в 50 килобакс не вкладываются.

 

По любому, стоит собрать на простеньком тазике, потестить и сделать выводы подойдет или нет.

Если оправдает надежды, то стоит покупать.

 

Опыт растет пропорционально бестолку купленному железу.

[KaYot 3 710]

55 минут назад, pavlabor сказал:

Шо то не сходится

Надо учиться пользоваться гуглем, и все сойдется. Сервер такой можно за 2к собрать, платформа то относительно старая.

[LENS 105]

Коллеги, вы зацепились с защитой от ддос с ребятами, которые даже в диалоге не понимают сути, путают CPU, RAM, роутинг и прочее.

Ещё веселее, когда сравнивают маршрутизаторы с сетевыми экранами и так далее.

Итак, защита от ддос как услуга состоит из двух частей:

1) избыточные каналы связи

2) оборудование, которое позволяет выявлять и фильтровать атаки

 

Каналы связи чем больше ёмкости, тем больше валюметрических атак вы выдерживаете. Например, UDP Dns амплификатор. Все просто - купил 3-4 порта по 100G и более менее нормально.

 

Но эти порты нужно куда то принять и чем то обработать. Тут начинается как в ситуации: "у каждой хозяйки свой борщ". Можно идти по пути дорогому, крайне дорогому. Например Radware, BigIP F5, Arbor Networks и так далее. А можно городить многокомпонентные решения из анализаторов, фронтендов, сетевых экранов и так далее. 

 

Но самый главный компонент - это глубокое понимание что ты делаешь. 

В случае когда вы хотите на сервере, даже самом мощном, с самыми крутыми сетевыми картами и запущенным IDS Snort с кучей надстроек и сигнатур решить все ваши задачи - не получится.

Помню в начале 2000 был мультик Масяня и там была серия - у нее была кнопка, которую нажимала и все становилось хорошо - тут так не прокатит)))

За очищенный от основных видов атак трафик стоит десятки тысяч грн, ну или тысячи долларов. Это цена не с потолка.

 

P.S. но если вам это в кайф и нравится копаться и смотреть что будет, то поддерживаю - прикольно и интересно))) покупайте сервак с сетевушками и ставьте Snort

Відредаговано 2020-04-18 11:00:36 LENS