kvirtu Опубликовано: 31 серпня, 2011 Опубликовано: 31 серпня, 2011 Конечно в первую очередь защищенность определяет кривость рук админа, но все же: статистика, личный опыт ???
NiTr0 Опубліковано: 31 серпня, 2011 Опубліковано: 31 серпня, 2011 Что именно под ддосом ОС подразумевается? ICMP флуд что ли? Или ддос сервисов - который собссно оканчивается для разных сервисов/демонов по-разному? Из личного опыта - линукс сильно нехорошо переносит out of memory при активном своппинге. Как это переживает бздя - мне неизвестно. Но для этих целей опять же есть инструменты ограничения ресурсов, выделяемых группам процессов, или радикальное решение - отключение свопа.
kvirtu Опубліковано: 31 серпня, 2011 Автор Опубліковано: 31 серпня, 2011 Что именно под ддосом ОС подразумевается? ICMP флуд что ли? Или ддос сервисов - который собссно оканчивается для разных сервисов/демонов по-разному? Из личного опыта - линукс сильно нехорошо переносит out of memory при активном своппинге. Как это переживает бздя - мне неизвестно. Но для этих целей опять же есть инструменты ограничения ресурсов, выделяемых группам процессов, или радикальное решение - отключение свопа. По ДДОС интересует все, как же без свопа то ???
NiTr0 Опубліковано: 31 серпня, 2011 Опубліковано: 31 серпня, 2011 Молча без свопа. В нормальном режиме своп практически не юзается. Мало рамы - докупить не проблема, цены смешные - не 2000й год на дворе ведь. Можно и 16 гиг вкрячить на тазик при желании. Ну а вообще - все решается в первую очередь на уровне сервисов. Чтобы ложился сервис, а не вся система. Для хттп - это nginx+php-fcgi вместо апача + лимиты, для системных сервисов - ограничение доступа только с нужных адресов и т.п.; + вынос всяческого ховна в VM/OpenVZ контейнеры - сдохло, ну и хрен с ним. А заддосить ядро системы пингами или чем там еще - это надо умудриться... Каналы сдуются ИМХО намного раньше.
kvirtu Опубліковано: 31 серпня, 2011 Автор Опубліковано: 31 серпня, 2011 Молча без свопа. В нормальном режиме своп практически не юзается. Мало рамы - докупить не проблема, цены смешные - не 2000й год на дворе ведь. Можно и 16 гиг вкрячить на тазик при желании. Ну а вообще - все решается в первую очередь на уровне сервисов. Чтобы ложился сервис, а не вся система. Для хттп - это nginx+php-fcgi вместо апача + лимиты, для системных сервисов - ограничение доступа только с нужных адресов и т.п.; + вынос всяческого ховна в VM/OpenVZ контейнеры - сдохло, ну и хрен с ним. А заддосить ядро системы пингами или чем там еще - это надо умудриться... Каналы сдуются ИМХО намного раньше. Планирую ставить фрю , nginx - принимающий запросы и отдающий их апачу (апач нужен для софта), перекомпиляция ядра с НУЖНЫМИ настройками + ipfw.
NiTr0 Опубліковано: 31 серпня, 2011 Опубліковано: 31 серпня, 2011 Это какой же такой специфичный софт требует именно апач? У меня вебка со всяким хламом в виртуалке на php-fcgi+nginx крутится... Хотя если и передавать - то только запросы к динамическим страничкам, статику пускай nginx переваривает.
adeep Опубліковано: 31 серпня, 2011 Опубліковано: 31 серпня, 2011 вопрос бредовый. все зависит от кривизны рук настраивающего. сетевые стеки примерно сравнялись уже, с точки зрения системы ограничения можно выставить одинаковые.
ramsess Опубліковано: 31 серпня, 2011 Опубліковано: 31 серпня, 2011 Единственная защита от DDoS это децентрализация и распределение ресурсов. В противном случае как здесь упомянули каналы просядут раньше чем сервера и пофиг что на них стоит, что бздя, что линукс, что винда.
kvirtu Опубліковано: 31 серпня, 2011 Автор Опубліковано: 31 серпня, 2011 Это какой же такой специфичный софт требует именно апач? У меня вебка со всяким хламом в виртуалке на php-fcgi+nginx крутится... Хотя если и передавать - то только запросы к динамическим страничкам, статику пускай nginx переваривает. Ну например панель управления хостингом
NiTr0 Опубліковано: 1 вересня, 2011 Опубліковано: 1 вересня, 2011 Вы уверены, что оно действительно не может жить без апача? Я в этом совсем не уверен
kvirtu Опубліковано: 1 вересня, 2011 Автор Опубліковано: 1 вересня, 2011 Вы уверены, что оно действительно не может жить без апача? Я в этом совсем не уверен DirectAdmin
NiTr0 Опубліковано: 1 вересня, 2011 Опубліковано: 1 вересня, 2011 Ну к примеру как-то так. Ну или так. Было бы желание.
kvirtu Опубліковано: 1 вересня, 2011 Автор Опубліковано: 1 вересня, 2011 Ну к примеру как-то так. Ну или так. Было бы желание. Спасибо, за ссылочки, есть ли необходимость защищать ДНС-сервер ?
NiTr0 Опубліковано: 1 вересня, 2011 Опубліковано: 1 вересня, 2011 Мы у себя зарезали кол-во запросов с одного адреса из мира в единицу времени. Но скорее для перестраховки.
adeep Опубліковано: 1 вересня, 2011 Опубліковано: 1 вересня, 2011 что вы подразумеваете под "защищать" ДНС сервер? если подразумевается уствновка всех обычных разумных настроек, то да.
kvirtu Опубліковано: 1 вересня, 2011 Автор Опубліковано: 1 вересня, 2011 что вы подразумеваете под "защищать" ДНС сервер? если подразумевается уствновка всех обычных разумных настроек, то да. Установить и настроить fail2ban
NiTr0 Опубліковано: 1 вересня, 2011 Опубліковано: 1 вересня, 2011 Установить и настроить fail2ban Ну и что вы ним анализировать в логах будете-то??? Какие запросы авторизации могут быть у днс сервера??????? Сделайте иптейблсом лимит новых соединений на заданный порт в единицу времени и все. Ну или бздевым файрволом.
Serjio Опубліковано: 1 вересня, 2011 Опубліковано: 1 вересня, 2011 Спасибо, за ссылочки, есть ли необходимость защищать ДНС-сервер ? NS-ы нужно правильно настроить это решит 90% проблем.
Serjio Опубліковано: 1 вересня, 2011 Опубліковано: 1 вересня, 2011 Конечно в первую очередь защищенность определяет кривость рук админа, но все же: статистика, личный опыт ??? DDOS DDOS-у рознь, бывают такие атаки что падают все. Различие в том, что криворукие падают быстрее. Как показывает практика, защита должна строиться в первую очередь на уровне инфраструктуры, во вторую на уровне приложения. Если мы говорим о промышленных масштабах то это одно, если об уровне хостера с парком оборудования в полтора тазика то тут подойдет хоть фря хоть линух.
kvirtu Опубліковано: 1 вересня, 2011 Автор Опубліковано: 1 вересня, 2011 Спасибо, за ссылочки, есть ли необходимость защищать ДНС-сервер ? NS-ы нужно правильно настроить это решит 90% проблем. Ну ДНС настраивал, что к чему в принципе разбираюсь, но можно все же сцылочку как правильно настроить первичный и вторичный NS
kvirtu Опубліковано: 1 вересня, 2011 Автор Опубліковано: 1 вересня, 2011 Конечно в первую очередь защищенность определяет кривость рук админа, но все же: статистика, личный опыт ??? DDOS DDOS-у рознь, бывают такие атаки что падают все. Различие в том, что криворукие падают быстрее. Как показывает практика, защита должна строиться в первую очередь на уровне инфраструктуры, во вторую на уровне приложения. Если мы говорим о промышленных масштабах то это одно, если об уровне хостера с парком оборудования в полтора тазика то тут подойдет хоть фря хоть линух. Тут как раз в точку (тазик+УПС) - у меня будет хостинг в основном для своих целей, знакомых , а там может а на продажу)
aoz1 Опубліковано: 7 вересня, 2011 Опубліковано: 7 вересня, 2011 Тут как раз в точку (тазик+УПС) - у меня будет хостинг в основном для своих целей, знакомых , а там может а на продажу) Для дома для семьи, родственников и их друзей (сайты до 1000 посещений в день) ставь любой тазик, только сразу мозгов побольше на него любую хостинг панель. Хош платную, хош бесплатную. У меня для тех же целей стоит Plesk на центосе, уже лет пять (раскрутил спонсора). Там под сотню доменов (в основном джумла) с общим траффиком до пол терабайта в месяц. Все что допиливалось на предмет оптимизации по моему, это mysql. Ну дырки по безопасности затыкаю суосин и последняя тут на форуме была, ну еще там было. Какие DOS атаки? Накой "Я и моя собака" кому то нужны. Ну еще человечек решил драйвера с сайта отдавать, провел разьяснительную беседу повесил на ту папку nginx. PS и два камушка на процессоре. Когда червяки под user account залазят то 1 камень на 100% занимают.
Рекомендованные сообщения
Создайте аккаунт или войдите в него для комментирования
Вы должны быть пользователем, чтобы оставить комментарий
Создать аккаунт
Зарегистрируйтесь для получения аккаунта. Это просто!
Зарегистрировать аккаунтВхід
Уже зарегистрированы? Войдите здесь.
Войти сейчас